ایمیونفی کے سی ای او نے PHP کی خامی اور AI کے سیکیورٹی خطرات کی نشاندہی کی

سائبر سیکیورٹی ماہرین ویب سائٹس کے آپریٹرز—اور جو بھی ویب پر کریپٹو سروسز استعمال کرتے ہیں—کو PHP سے متعلق کمزوریوں کو قریبی مستقبل میں ایک فعال خطرہ سمجھنے کی تجویز کرتے ہیں، یہاں تک کہ ایمرجنسی پیچس جاری ہو جانے کے بعد بھی۔ ایمنیفی کے سی ای او مٹچل اماڈور نے کہا کہ بہت سے چھوٹے ویب سائٹس اپڈیٹس کو لاگو کرنے میں ہفتے لگا سکتی ہیں، جس سے صارفین کا خطرہ ابتدائی اعلان کے وقت کے مقابلے میں زیادہ لمبا رہتا ہے۔

امریڈور کی انتباہ، PHP فاؤنڈیشن کے اعتراف کے فوراً بعد آئی جس میں انہوں نے 2024 میں پہلے شناخت کی گئی ایک اہم خامی کو ٹھیک کرنے میں تاخیر کا اعتراف کیا اور وسائل کی کمی کا حوالہ دیا۔ جبکہ دو اہم کمزوریوں کے لیے فوری پیچز اسی دن جاری کردی گئیں، لیکن اپنے انسٹالیشنز کو اپ گریڈ کرنے کی ذمہ داری اب بھی انفرادی ویب سائٹس پر ہے۔

• ایمیون فائی کے سی ای او مٹچل ایماڈور نے کہا کہ صارفین کو اگلے کچھ ہفتے کے لیے کسی بھی ویب سائٹ پر لاگ ان ہونے کی فرضیت رکھنی چاہیے جو متاثر ہو سکتی ہے۔
• حتیٰ کہ ایمرجنسی PHP پیچس دستیاب ہونے کے باوجود، ویب سائٹس کو اپنے آپ کو اپ گریڈ کرنا پڑے گا—چھوٹے آپریٹرز ہفتوں تک پیچھے رہ سکتے ہیں۔
• امادور نے صارفین کو پاس ورڈز دوبارہ استعمال نہ کرنے اور کرپٹو کرنسی والٹس کو ویب سائٹس سے جوڑنے پر احتیاط کرنے کی تجویز دی۔
• اس نے صارفین کے ذریعہ نہیں پہچانے جانے والے ٹوکن اپروولز کو منسوخ کرنے کی تجویز بھی کی تاکہ ممکنہ خرابانہ سرگرمیوں کے اثرات کو کم کیا جا سکے۔
• عوامی اعلان کے بعد کئی طرفین نے تیزی سے استحصال کی سرگرمیوں کی رپورٹ کی، جس میں 24 گھنٹوں میں ملیونوں کوششوں کی رپورٹ شامل ہے۔

امادور نے اس صورتحال کو جدید سیکورٹی کے ایک دہرائے جانے والے نمونے کے طور پر پیش کیا: کمزوریاں جلدی سے شناخت کی جا سکتی ہیں، لیکن ان کا ازالہ اکثر سستا اور زیادہ مہنگا ہوتا ہے—خاص طور پر چھوٹی ویب پراپرٹیز کے لمبے پوچھ کے لیے۔ "یہ کمزوری کا اپوکلیپس ہے جو منصوبہ بندی کے مطابق چل رہا ہے"، امادور نے Cointelegraph کو بتایا، اور دلیل دی کہ اعلان اور وسیع پیمانے پر پیچ اڈاپٹیشن کے درمیان کا وقت ہی وہ جگہ ہے جہاں حقیقی نقصان ہوتا ہے۔

عملی طور پر، اس کی تجویز ان صارفین کے لیے ہے جو ایسی ویب سائٹس کے ساتھ تعامل کر سکتے ہیں جن کی PHP ورژن ابھی تک اپ گریڈ نہیں ہوئی ہے۔ “اگلے کچھ ہفتے کے لیے، جس بھی سائٹ پر آپ لاگ ان ہوں، اسے ایسے ہی سمجھیں جیسے وہ پہلے ہی متاثر ہو چکی ہو،” اس نے کہا۔ کرپٹو صارفین کے لیے، اس کا مطلب ہے والٹ کنکشنز کے حوالے سے زیادہ احتیاط، جہاں بری مقصود ویب سائٹس صارفین کو ٹوکن اجازتیں منظور کرنے یا نقصان دہ معاہدوں کے ساتھ تعامل کرنے کے لیے دھوکہ دینے کی کوشش کر سکتی ہیں۔

امادور نے مزید تاکید کی کہ اگر ویب سائٹ متاثر ہو جائے تو ڈاؤن اسٹریم کے نقصان کو کم کرنے کے لیے بنیادی صفائی کے اقدامات جیسے پاس ورڈ کا دوبارہ استعمال نہ کرنا اور ناپہچانے والے ٹوکن کی منظوریاں واپس لینا ضروری ہیں۔

Cointelegraph نے پہلے رپورٹ کیا تھا کہ PHP فاؤنڈیشن نے تسلیم کیا کہ وہ 2024 میں پہلے شناخت کی گئی ایک اہم سیکورٹی خامی کو درست کرنے میں تاخیر کر رہی ہے، جس کی وجوہات وسائل کی کمی تھیں۔ اسی رپورٹ میں یہ بھی نوٹ کیا گیا کہ ڈویلپرز نے ایمرجنسی ریلیز کے دن دو اہم کمزوریوں کے لیے فوری پیچ جاری کیے، لیکن مرکزی مسئلہ ختم نہیں ہوا: ہر ویب سائٹ کو اپنا ماحول اپ ڈیٹ کرنا ہوگا۔

یہ فرق خطرہ کے انتظام کے لیے اہم ہے۔ ایک پیچ جاری کرنا انٹرنیٹ پر فوری تحفظ کا خودکار مطلب نہیں ہے، اور وہ دفاعی فریق جو "پیچ کیا ہوا" کا مطلب "ہر جگہ" سمجھتے ہیں، شاید استعمال کے مواقع کتنے طویل تک قائم رہ سکتے ہیں، خاص طور پر ایسی ویب سائٹس کے لیے جو مشترکہ ہوسٹنگ پر انحصار کرتی ہیں یا جن کے اپڈیٹ سائکل کم تر ہوتے ہیں، کم سمجھ سکتے ہیں۔

سائٹیلیگراف کی پہلے کوریج میں امرادور کا حوالہ دیا گیا جس نے چیتنے کی تبدیلیوں کے باعث ان دورانیوں کو زیادہ خطرناک قرار دیا۔ جون کے ایک انٹرویو میں، اس نے "کمزوری کا اپوکلیپس" کے فریم ورک کو تبدیل ہوتے ہوئے حملہ آوروں کی صلاحیتوں اور وسیع تر سیکورٹی ریس سے جوڑا، جس سے دریافت سے استعمال تک کا راستہ تیز ہوتا ہے، جس سے ڈیفی ہیکس سمیت بڑے پیمانے پر واقعات میں اضافہ ہوا۔

امادور کی چیتنے کی فوریت کی تائید رپورٹس سے ہوتی ہے جو تیزی سے ہونے والے استعمال کی نشاندہی کرتی ہیں۔ کوائنٹیلیگراف نے Cloudflare کے سی ای او میتھیو پرنس کا حوالہ دیا، جنہوں نے کہا کہ PHP کی کمزوریوں کو عوامی طور پر ظاہر کرنے کے 24 گھنٹوں کے اندر نیٹ ورک نے "ملینوں استعمال کی کوششیں" دیکھیں، جیسا کہ پرنس کے نام سے منسوب گُرہوارہ X پوسٹ میں بتایا گیا۔ انہوں نے عوامی اعلان سے پہلے ہزاروں کوششیں بھی نوٹ کیں۔

یہ اہم ہے کیونکہ PHP کو اب بھی وسیع پیمانے پر استعمال کیا جا رہا ہے۔ Cloudflare کے مطابق، دنیا بھر کے تقریباً پانچ میں سے ایک ویب سائٹس Cloudflare کی انفراسٹرکچر کے ذریعے ٹریفک روت کرتی ہیں، جسے کمپنی کہتی ہے کہ یہ صارفین کا تحفظ اور ویب سائٹس کی تیزی سے فراہمی میں مدد کرتا ہے۔ اس کے علاوہ، W3Techs کا اندازہ ہے کہ PHP، جانے جانے والے سرور سائیڈ پروگرامنگ زبان استعمال کرنے والی تقریباً 69% ویب سائٹس کو چلاتا ہے، جس سے ظاہر ہوتا ہے کہ اگر خامیوں کی وجہ سے ریموٹ کمپرومایز، مالوئیر ڈپلوائمنٹ یا خرابانہ کوڈ انجیکشن ممکن ہو جائے تو اس کا اثر بہت وسیع ہو سکتا ہے۔

ایف بی آئی کے سائبر ڈویژن نے بھی ایسی فکریں ظاہر کیں۔ بدھ کو ایک ایکس پوسٹ میں، ڈویژن نے چیتن کیا کہ یہ خامیاں برے نیت والوں کو "PHP کور میں ریموٹلی کوڈ اجرا کرنے" کی اجازت دے سکتی ہیں، جس سے حساس ڈیٹا اور نیٹ ورکس متاثر ہو سکتے ہیں۔

آنے والے دنوں میں بنیادی عدم یقین یہ نہیں کہ اپڈیٹس موجود ہیں، بلکہ یہ ہے کہ عملی طور پر ویب سائٹس کتنی جلد اپڈیٹ ہوتی ہیں۔ اماڈور کی ہدایت صارفین سے اس فرق کو پُر کرنے کو کہتی ہے کہ وہ یہ فرض کریں کہ حمل ممکن ہے—حتیٰ کہ صرف ایک چھوٹا سا حصہ ویب سائٹس کسی بھی وقت زخمی ہو۔

ویب سائٹ آپریٹرز کے لیے فوری ترجیح یہ ہے کہ PHP کو اپ ڈیٹ کیا جائے اور ہوسٹنگ ماحول اس اپ ڈیٹ کو مکمل کرے۔ کرپٹو صارفین کے لیے، اماڈور کے تبصرے سے یہ سفارش ہوتی ہے کہ والٹ کنکشنز کے حوالے سے احتیاطی رویہ اپنایا جائے: خطرناک یا ناپر familiar ویب صفحات سے بچیں، اور ٹوکن کی منظوریوں کا جائزہ لیں تاکہ کسی بھی ایسے ٹوکن کی منظوری منسوخ کر دی جائے جو واضح طور پر ضروری یا شناخت شدہ نہ ہو۔

چونکہ اسپلوٹ کیمپینز عام طور پر افشا کے دوران تیز ہوتے ہیں اور پیچ کوریج بہتر ہونے کے ساتھ کم ہوتے جاتے ہیں، اس لیے پڑھنے والوں کے لیے اگلی نگرانی کی گئی چیز ہوسٹنگ فراہم کنندگان اور انفرادی ویب سائٹس کے درمیان PHP اپ گریڈ کے اپنائے کی رفتار ہے—خاص طور پر چھوٹی ویب پراپرٹیز جن میں اپ ڈیٹ کرنے میں زیادہ وقت لگتا ہے اور جو اس لیے ایکسپوژر ونڈو کا حصہ رہنے کا زیادہ امکان رکھتی ہیں۔

یہ مضمون اصل میں Immunefi سی ای او: PHP کی خامی AI سیکیورٹی کے بڑھتے خطرات کو تقویت دیتی ہے کے طور پر Crypto Breaking News پر شائع کیا گیا تھا – آپ کا اعتماد کرنے کے قابل ذریعہ کرپٹو خبروں، بٹ کوائن خبروں اور بلاک چین اپڈیٹس کے لیے۔