پی ایچ پی میں سیکیورٹی کی خرابی کا انٹرنیٹ سے کیا تعلق ہے؟

پروگرامنگ زبان «پی ایچ پی» (PHP) میں ایک سنگین سیکیورٹی کمزوری نے آئی ٹی ماہرین اور ویب سائٹس کے منتظمین میں تشویش کی لہر دوڑا دی ہے۔ جرمن فدرل آفس برائے سائبر سیکیورٹی اور بین الاقوامی ماہرین قریبی خطرے سے خبردار کر رہے ہیں۔ ذیل میں اہم سوالات اور ان کے جوابات پیش ہیں:

عالمی سطح پر وسیع پیمانے پر استعمال ہونے والی پروگرامنگ زبان «پی ایچ پی» میں دو انتہائی خطرناک کمزوریاں دریافت کی گئی ہیں، جو دنیا بھر میں ویب سائٹس کے بڑے حصے کی تکنیکی بنیاد فراہم کرتی ہیں۔ «پی ایچ پی 2 شیئل» (PHP2Shell) کے نام سے جانے جانے والی ان دو کمزوریوں، جن کی شناخت «CVE-2026-109618» اور «CVE-2026-109619» کے نمبروں سے کی گئی ہے، مجرموں کو ریموٹلی سرورز پر نقصان دہ کوڈ چلانے کی اجازت دیتی ہیں۔

متاثرہ نظاموں پر مکمل قبضے کے خطرے اور کمزوریوں کی تفصیلات کے طے شدہ وقت سے پہلے غیر ارادی طور پر عوامی ہونے کے باعث، حکام اور آئی ٹی سیکیورٹی ماہرین اس صورتحال کو غیر معمولی ہنگامی حالت قرار دے رہے ہیں۔ احتیاطی تدابیر کے طور پر بہت سے ویب سائٹس کے منتظمین نے اپنی سائٹس کو انٹرنیٹ سے منقطع کر دیا ہے۔

جی ہاں، بالواسطہ خطرہ موجود ہے۔ اگر کوئی ویب سائٹ، شہری خدمات کی پورٹل، یا آن لائن اسٹور متاثرہ «پی ایچ پی» ورژن استعمال کر رہا ہو اور اسے بروقت محفوظ نہ کیا جائے، تو حملہ آور نقصان دہ کوڈ کے ذریعے ویب سائٹ کے پیچھے موجود ڈیٹا بیس تک رسائی حاصل کر سکتے ہیں۔ اس سے صارفین کی حساس ڈیٹا، جیسے ذاتی معلومات، پاس ورڈز اور رابطے کی تفصیلات، لوٹ سکتی ہے۔

تاہم، انفرادی آلات جیسے اسمارٹ فونز، ٹیبلیٹس اور کمپیوٹرز پر کوئی براہ راست خطرہ نہیں ہے، کیونکہ یہ کمزوری صرف پس منظر میں ویب سائٹس چلانے والے سرورز تک محدود ہے۔

ابھی تک اس بات کی واضح طور پر وضاحت نہیں ہو سکی کہ «پی ایچ پی» میں یہ دو کمزوریاں کیسے دریافت ہوئیں۔ تاہم، کئی اشارے موجود ہیں کہ مصنوعی ذہانت (AI) کے وسیع پیمانے پر استعمال نے ان کی دریافت میں اہم کردار ادا کیا، خاص طور پر یہ کہ یہ کمزوریاں دہائیوں تک بغیر دریافت ہوئے رہیں۔

مصنوعی ذہانت نے خطرے کی نوعیت میں بھی کردار ادا کیا ہے۔ حملہ آور غیر محفوظ «پی ایچ پی» سرورز کی جانچ پڑتال کے لیے اس کا استعمال کر سکتے ہیں اور بغیر کسی انسانی مداخلت کے چند سیکنڈز میں وسیع پیمانے پر حملے کر سکتے ہیں۔ اس طرح، اس بحران میں مصنوعی ذہانت دونوں فریقین، یعنی حملہ آور اور دفاع کرنے والوں، کے لیے ایک تیز کنے والے عامل کے طور پر کام کر رہی ہے۔

ویب سائٹس کے منتظمین، چاہے وہ بلاگز ہوں، تنظیموں کی سائٹس ہوں، یا کاروباری اور عوامی اداروں کی ویب سائٹس، کو اپنے سرور ماحول میں استعمال ہونے والے «پی ایچ پی» ورژن کی تصدیق کرنی چاہیے۔

ترقیاتی ٹیم نے گزشتہ بدھ کو ایمرجنسی سیکیورٹی اپ ڈیٹس فراہم کیں۔ بڑی ویب ہوسٹنگ کمپنیوں، جیسے کہ IONOS، نے پہلے ہی اپنے نظاموں میں PHP کے ورژن کو اپ ڈیٹ کر دیا ہے، جس سے کم از کم ان ویب سائٹس کی حفاظت یقینی ہو جاتی ہے جو خودکار سیکیورٹی اپ ڈیٹس پر انحصار کرتی ہیں۔ عالمی سطح پر خودکار حملوں کی لہر شروع ہو چکی ہے، اور متوقع ہے کہ یہ ہفتوں یا مہینوں تک جاری رہے گی، کیونکہ حملہ آور بغیر تھکے ان نظاموں کی تلاش جاری رکھے ہوئے ہیں جن پر سیکیورٹی اپ ڈیٹس نصب نہیں کی گئیں۔ خطرے کے ختم ہونے کا اعلان صرف تب ہی کیا جا سکتا ہے جب ویب ہوسٹنگ کمپنیوں اور سسٹم منتظمین کی اکثریت سیکیورٹی اپ ڈیٹس نصب کر لے۔ پرانے نظام اور PHP کے وہ ورژن جن کے لیے سرکاری اپ ڈیٹس دستیاب نہیں ہیں، ان کے آپریٹرز کو فوری طور پر انہیں الگ کر دینا یا بند کر دینا چاہیے تاکہ انٹرنیٹ مجرموں کے لیے مستقل سکیورٹی کمزوریوں کے استعمال سے روکا جا سکے۔