اے آئی نے 22 سال پرانے پی ایچ پی نقص کو ویب کے 70 فیصد حصے کے لیے فعال خطرہ بنا دیا
دنیا کی تقریباً 70 فیصد ویب سائٹس کو چلانے والی زبان پی ایچ پی میں دو کمزوریاں ہیں جن کی شدت کا سکور 10 میں سے 9.2 ہے اور جنہیں کسی بھی لاگ ان اسناد کے بغیر استعمال کیا جا سکتا ہے، یہ بات ان محققین کے مطابق ہے جنہوں نے ان کی تصدیق کی۔ CVE-2026-109618 اور CVE-2026-109619 کے نام سے ٹریک کی جانے والی اور مجموعی طور پر PHP2Shell کہلانے والی یہ خامیاں کسی پلگ ان یا تھیم کے بجائے خود پی ایچ پی انجن میں موجود ہیں، اس لیے مکمل طور پر اپ ڈیٹ شدہ ورڈپریس، ڈروپل یا جوملہ سائٹ بھی اس صورت میں خطرے سے دوچار ہو سکتی ہے اگر اس کا سرور پی ایچ پی کے غیر پیچ شدہ ورژن پر چل رہا ہو۔
یہ کمزوری نئی نہیں ہے۔ جرمن سیکیورٹی محقق اسٹیفن ایسر نے جولائی 2004 میں پی ایچ پی کے اندرونی میموری ہینڈلنگ پر خدشات کا اظہار کیا تھا، اور بعد میں آنے والے محققین نے 2020 اور 2024 میں متعلقہ مسائل کی نشاندہی کی، مگر صرف جزوی اصلاحات ہوئیں۔ ان خامیوں کو زیادہ تر نظریاتی رکھنے کی وجہ ان کا استعمال کرنا مشکل ہونا تھا: ایک قابل اعتماد حملے کے لیے پی ایچ پی کی میموری مینجمنٹ پر مہینوں کی ماہرانہ محنت درکار تھی۔ یہ رکاوٹ اگست 2026 میں ختم ہو گئی، جب وِز، اوپن اے آئی اور کیلیف کے محققین نے اے آئی سسٹمز کا استعمال کرتے ہوئے ان کمزوریوں کو گھنٹوں میں کام کرنے والے ایکسپلائٹس میں تبدیل کر دیا اور بڑے کنٹینٹ مینجمنٹ سسٹمز کے خلاف حملوں کا مظاہرہ کیا۔
21 اکتوبر کو انکشاف نے ہنگامی اقدامات کو جنم دیا۔ کئی یورپی ممالک کے سرکاری نظام احتیاطی طور پر بند کر دیے گئے اور وکیمیڈیا فاؤنڈیشن نے اپنے انفراسٹرکچر کی حفاظت کے لیے اقدامات کیے، جبکہ ایمیزون ویب سروسز نے 17 اکتوبر سے شروع ہونے والی مشکوک سرگرمی کی اطلاع دی، یعنی خامیوں کے عوامی ہونے سے چار دن پہلے۔ استعمال کی کوشش اس بات کا ثبوت نہیں کہ سرور متاثر ہوا، لیکن اس وقت نے اس تشویش کو تیز کر دیا کہ حملہ آور اب کتنی تیزی سے حرکت کر سکتے ہیں۔
پی ایچ پی ڈویلپمنٹ ٹیم نے اسی دن پیچ جاری کیے۔ منتظمین کو PHP 8.5.12، 8.4.27، 8.3.36 یا 8.2.35 درکار ہے، اور PHP 8.1 اور اس سے پرانے ورژنز کی مزید معاونت نہیں کی جاتی اور انہیں منتقل کرنا چاہیے۔ سیکیورٹی ماہرین اس بات پر زور دیتے ہیں کہ پیچنگ ہی بنیادی حل ہے: فائر والز اور نگرانی خطرے کی نمائش کم کرتی ہیں مگر اپ ڈیٹ شدہ رن ٹائم کا متبادل نہیں بنتیں۔ شیئرڈ یا ری سیلر ہوسٹنگ پر موجود سائٹ مالکان کو اپنے فراہم کنندگان سے تصدیق کرانی چاہیے کہ سرور کی سطح پر پی ایچ پی اپ ڈیٹ ہو چکا ہے، غیر معمولی درخواستوں اور غیر متوقع غلطیوں کے لیے لاگز کا جائزہ لیں، تصدیق شدہ بیک اپ رکھیں اور انتظامی اکاؤنٹس پر کم سے کم مراعات کے اصول کے ساتھ ملٹی فیکٹر تصدیق نافذ کریں۔
یہ واقعہ سیکیورٹی میں اے آئی کے لیے دو رخ رکھتا ہے۔ وہی اوزار جو کمزوریوں کی تحقیق کے مہینوں کو گھنٹوں میں سمیٹ سکتے ہیں، دفاع کرنے والوں کی مدد کر سکتے ہیں کہ وہ حملہ آوروں سے پہلے خامیاں تلاش کریں، لیکن وہ انکشاف اور استعمال کے درمیان فرق کو بھی کم کر دیتے ہیں۔ محققین کے نتائج بتاتے ہیں کہ ہفتوں یا مہینوں میں ناپے جانے والے پیچنگ چکر اب کافی تیز نہیں رہ سکتے۔
