بدھ کو، PHP نامی ایک دہائیوں پرانی اوپن سورس ویب ٹیکنالوجی دو خامیوں کی وجہ سے انٹرنیٹ کو تقریباً بند کر دیا، جن کے استعمال کے طریقے تحقیق کاروں نے صرف ابھی دریافت کیے ہیں جنہیں کئی سالوں تک نظر انداز کیا گیا تھا۔
ان دونوں خامیوں کو PHP2Shell کہا جاتا ہے، جن کے سرکاری نمبر CVE-2026-109618 اور CVE-2026-109619 ہیں۔ سادہ الفاظ میں، یہ خامیاں کسی بھی ایسے شخص کو مزیدور کرنے کی اجازت دیتی ہیں جو ان کا استعمال جانتا ہو، بغیر پاس ورڈ کے PHP چلنے والے آن لائن سسٹم، جیسے ویب سائٹس یا انٹرنیٹ کے لیے موزوں سرورز پر حملہ کرے اور ان میں موجود ڈیٹا تک رسائی حاصل کرے یا اسے تبدیل کرے۔
واقعے کی شدت کے لحاظ سے، یہ واقعہ کافی بڑا تھا جس نے عالمی سطح پر کروڑوں لوگوں کو بربری ہیکرز کے استعمال سے پہلے سسٹم کو اپ ڈیٹ کرنے کے لیے مجبور کر دیا۔
PHP Foundation نے بدھ کو PHP نیٹ ورک سافٹ ویئر کی مرمت کے لیے ایک پیچ جاری کیا، جسے نصب کرنے سے ویب سرورز کے حملوں کو روکا جا سکتا ہے۔ اس سے پہلے، یہ فاؤنڈیشن PHP پر انحصار کرنے والی کچھ بڑی انٹرنیٹ کمپنیوں اور ویب ہوسٹنگ فراہم کنندگان کو مرمت کا ابتدائی رسائی دے چکی تھی۔
کئی ہفتے کی پیچیدہ پیچیدہ مذاکرات اور صنعت کے اندر احتیاطی تعاون کے باعث، عالمی سطح پر اب تک بڑے پیمانے پر انٹرنیٹ کے استعمال سے بچا گیا ہے۔ بدھ کو، مختلف حکومتیں شہریوں اور ویب سائٹس رکھنے والے کاروباروں کو اپنے خطرات کو کم کرنے کے لیے اقدامات کرنے کی ترغیب دینا شروع کر دی۔ بینک، ریٹیلر، گیمنگ ویب سائٹس، آن لائن دکانیں، ہسپتال اور کچھ حکومتی اداروں نے حملوں سے بچنے کے لیے اپنے سرورز بند کر دیے۔
لیکن سیکورٹی ریسرچرز نے چेतاؤ دیا ہے کہ یہ مسئلہ ختم نہیں ہوا ہے، اور دنیا بھر میں اب بھی بہت سارے سسٹم پچ نہیں لگائے گئے ہیں، جو حملوں اور ڈیٹا چوری کے لیے زخمی ہیں۔
یہ بھی احتمالاً آخرین بڑی انٹرنیٹ سافٹ ویئر کrisis نہیں ہوگی۔ کچھ لوگوں کا خیال ہے کہ شناخت نہ ہونے والے، تلاش کے انتظار میں اور استعمال کے لیے تیار خامیوں کی تعداد کو AI کے ظہور سے جلد ہی دریافت کیا جائے گا۔
کیا ہوا؟
کیلیفورنیا کے محفوظ تحقیقی ماہرین نے PHP میں دو خامیاں دریافت کیں۔ PHP ایک ایسا پروگرامنگ زبان ہے جو عالمی سطح پر ویب سائٹس اور ویب ایپلیکیشنز بنانے کے لیے استعمال ہوتا ہے، جو انٹرنیٹ کے ساتھ ساتھ کمپنیوں کے نیٹ ورکس میں بھی استعمال ہوتا ہے، جیسے انٹرنیٹ اور اندر کی ویب سائٹس۔
یہ دو خامیاں 2024 میں سب سے پہلے دریافت ہوئیں، لیکن اس وقت ان کا استعمال ممکن نہیں سمجھا جاتا تھا، اس لیے ان کا اصلاح نہیں کیا گیا۔ حالیہ طور پر، سیکورٹی ریسرچرز نے ان کا استعمال کرنے کا طریقہ دریافت کر لیا ہے، اور نرم افزار ترقی دہندگان کو فوری طور پر ان کی درستگی کی تجویز کی ہے۔
کیلیف نے PHP فاؤنڈیشن کو اطلاع دی، جس نے فوراً خلل کی درستگی اور اس کی اطلاع کو منظم کرنا شروع کر دیا۔ فاؤنڈیشن نے مخصوص اجلاس تاریخ تک سرکاری طور پر خفیہ رکھنے کے تحت متعلقہ معلومات اور اپ ڈیٹ فراہم کرکے بڑی کمپنیوں کو اپ ڈیٹ نصب کرنے کا موقع دیا۔
یہ خامیاں اتنی سنگین کیوں ہیں؟
PHP2Shell کی وجہ سے یہ سنگین ہے کیونکہ اسے انٹرنیٹ کے ذریعے ریموٹلی استعمال کیا جا سکتا ہے، اور قربانی کو کسی لنک پر کلک کرنے یا فائل کھولنے کی ضرورت نہیں ہوتی۔ اسے ریموٹ کوڈ ایکزیکیشن کہا جاتا ہے، جو ایک انتہائی نقصان دہ خرابی کی قسم ہے کیونکہ یہ دنیا بھر کے ہیکرز کو متاثرہ اور اپ ڈیٹ نہ ہونے والے سسٹم پر تقریباً مکمل کنٹرول دے سکتی ہے۔
بہتر طور پر، یہ مخصوص PHP خامیاں حملہ آور کو بغیر کسی پاس ورڈ یا دیگر اثباتیہ کے انٹرنیٹ کے ذریعے کسی بھی اپ ڈیٹ نہ ہونے والے سسٹم تک رسائی حاصل کرنے کی اجازت دیتی ہیں، جسے بے اثباتی رسائی کہا جاتا ہے۔
یہ برے نیت والے ہیکرز کو کمپیوٹر پر میلویئر ڈالنے کی اجازت دے گا، جیسے ڈیٹا چوری کرنا، یا صرف مستقل گھیرا بنانے کے لیے تاکہ بعد میں واپس آ سکیں۔
کیوں 70% ویب صفحات متاثر ہو رہے ہیں؟
PHP صرف ایک قدیمی ٹیکنالوجی نہیں جو اب بھی کام کر رہی ہے، بلکہ یہ انٹرنیٹ کی کئی نسلوں اور ترقیات کے بعد بھی ہر جگہ موجود ہے، جیسے انٹرنیٹ کے زیادہ تر کام کو جوڑنے والی چپکنے والی چیز۔ اکثر اوقات، یہ ٹولز اوپن سورس مینٹینرز کے ذریعہ تیار کیے جاتے ہیں، جو اس کام کے لیے تنخواہ نہیں لیتے، اس لیے تھرڈ پارٹی سیکورٹی اڈٹ کا خرچ برداشت نہیں کر سکتے—لیکن کمپنیاں ان پروجیکٹس پر زوردار طور پر انحصار کرتی ہیں، جبکہ ان کو فنڈنگ فراہم نہیں کرتیں۔
کیا یہ خامیاں AI کے ذریعے دریافت کی گئیں؟
کیلیف نے اس سال کے شروع میں PHP کوڈ کے سیکورٹی آڈٹ کے دوران ان خامیوں کو دریافت کرنے کے لیے تعریف حاصل کی۔ کیلیف نے OpenAI اور کلاؤڈ سیکورٹی ٹریڈر Wiz کی طرف سے شروع کیے گئے "Hack the Planet" پروگرام میں شرکت کی، جس نے بعد میں کیلیف کے تیار کردہ پوائنٹ آف کانسپٹ ایکسپلوٹ کو تصدیق کیا۔
کیلیف کے تفصیلی مضمون میں (جو ایک کارٹون بھی شامل ہے — بہت عالی، دیکھنے کے قابل)، محققین نے وضاحت کی کہ اس کمزوری کے استعمال میں مدد کے لیے صنعتی ذہانت کا استعمال کیا گیا، لیکن زیادہ تر کام محققین کے پہلے سے موجود علم اور ان کی PHP کوڈ بیس اور کمزوری استعمال کے تاریخی تجربے پر منحصر تھا۔
کیلیف نے لکھا: "کوئی بھی ماڈل صرف سادہ پیغام کے ذریعے اب تک 'تمام خامیوں' کو نکالنے میں کامیاب نہیں ہوا۔"
کیوں ان خامیوں کا استعمال اعلان سے پہلے ہی کیا جا چکا تھا؟
ہر طرف کی کوششوں کے باوجود جب تک کہ ویڈنیسڈے تک خامی کی تفصیلات کو چھپایا نہ جائے، لگتا ہے کہ پی ایچ پی2شیل کے لیے کچھ استعمال پہلے ہی ظاہر ہو چکا ہے۔
بڑے پیمانے اور بہت زیادہ دکھائی دینے کی وجہ سے، ایمیزون آن لائن خطرات کے بارے میں بہت بڑی نظر رکھتی ہے۔ کمپنی نے ایک بلاگ پوسٹ میں کہا کہ اس نے PHP پیچ جاری ہونے سے تقریباً ایک ہفتہ پہلے PHP2Shell کے استعمال کے نشانات کا پتہ لگا لیا، جس سے یہ ظاہر ہوتا ہے کہ کسی نہ کسی جگہ، کسی نے اس سے پہلے ہی ان خامیوں کا استعمال کرنے کا طریقہ جان لیا تھا جب تک کہ ان کی تفصیلات عام طور پر سامنے نہ آ گئیں۔ ایمیزون کا کہنا ہے کہ ابھی تک یہ واضح نہیں ہے کہ ہیکرز نے ان خامیوں کے بارے میں کیسے معلومات حاصل کیں، لیکن دفاعی افراد کو 17 اکتوبر تک واپس جانچنا چاہئے تاکہ استعمال کے ثبوت تلاش کر سکیں۔
واقعہ کے بارے میں کئی تفصیلات ہیں۔ جب خامی کو درست کر دیا جائے گا، تو درستگی کی تفصیلات فوراً واضح ہو جائیں گی، خاص طور پر PHP جیسے اوپن سورس کوڈ میں جہاں کوئی بھی علناً دیکھ سکتا ہے۔ ان خامیوں کا استعمال آسان نہیں ہو سکتا، لیکن خامی کی جگہ اور اس کے درست ہونے کا طریقہ جاننا برے ہیکرز کو ہدف کا انتخاب کرنے اور استعمال کے کوڈ کو ترقی دینے میں مدد کر سکتا ہے۔
یہ بھی ممکن ہے کہ پابندی کے دوران کہیں نہ کہیں لیک ہو گیا ہو یا رابطہ قطع ہو گیا ہو۔ اوپن سورس کمیونٹی بہت بڑی ہے، اور اس طرح کی معلومات کو کنٹرول کرنا تمام طرفین کی ایمانداری اور تعاون پر منحصر ہے۔
اس کے علاوہ، ہیکرز نے ان خامیوں کو پہلے سے الگ طور پر دریافت کر لیا ہو یا جاسوسی سرگرمیوں کے ذریعے ان کے بارے میں معلومات حاصل کر لی ہو۔
محققین کا کہنا ہے کہ ان خامیوں کو حقیقی طور پر استعمال کرنے کے لیے بہت زیادہ کام درکار ہے، خامیوں کو ہتھیار بنانا ہمیشہ ایک چیلنج رہا ہے—لیکن ناممکن نہیں—اور اسی لیے ہم تک تک بڑے پیمانے پر استعمال کے واقعات نہیں دیکھ پائے ہیں۔
انٹرنیٹ وسیع پیمانے پر بند ہو گیا ہے، لیکن اب بحال ہو رہا ہے۔ کیا ہم سب سے بدترین صورتحال سے بچ گئے ہیں؟
ابھی نتیجہ نکالنا جلد بازی ہے، لیکن اب تک بڑے پیمانے پر استعمال کے کوئی علامات نہیں دیکھی گئیں، جو کم از کم ایک حوصلہ افزا سگنل ہے—تاہم ہم ابھی خطرے کے علاقے سے بالکل باہر نہیں ہوئے۔
سیبرن سیکیورٹی اور مانیٹرنگ کمپنی Cloudflare کے سی ای او میتھیو پرنس نے اس ہفتے کہا کہ کمپنی نے ویولنریبیلٹی کے افشا کے بعد ان کا استعمال کرنے کی کوششوں میں ایک اسٹیپ چھلانگ دیکھی ہے۔ اس سے یہ بھی ظاہر ہوتا ہے کہ برے مقاصد کے لیے استعمال کرنے والے کتنی جلدی ان خامیوں کا فائدہ اٹھانے کی کوشش کر رہے ہیں۔
PHP صرف ویب سرورز کے لیے ہی نہیں بلکہ ڈویلپمنٹ ٹولز، کمانڈ لائن اور ٹرمینل سافٹ ویئر، اور روترز، اسٹوریج ڈیوائسز اور اینٹرپرائز سیکورٹی ڈیوائسز (جیسے فائر وال اور وی پی این) کے دیگر سافٹ ویئر کمپونینٹس کے لیے بھی استعمال ہوتا ہے۔
یہ متوقع ہے کہ PHP2Shell کے استعمال کی واقعات بعد میں بھی ظاہر ہوں گی، کیونکہ چھوٹے IT ٹیمیں اور انفرادی ڈویلپرز زیادہ سستی سے اپڈیٹ کر سکتے ہیں۔ اس کے علاوہ، بہت سی کمپنیاں جو PHP کو اپنے پروڈکٹس اور سافٹ ویئر میں اندراج کرتی ہیں، انہیں بھی اپڈیٹ کرنے کی ضرورت ہوگی، جس سے ایک عبوری دور گزرے گا۔
جیسے جیسے زیادہ سے زیادہ ڈیوائسز اور سسٹمز اپ ڈیٹ ہو جائیں گے، حملے کا رخ کم ہوتا جائے گا۔ لیکن ان خامیوں کے سلسلہ وار اثرات اب بھی کئی سالوں تک جاری رہ سکتے ہیں، خاص طور پر ان پرانے سسٹمز میں جنہیں اپ ڈیٹ نہیں کیا جا سکتا۔
کیا یہ صورتحال دوبارہ پیش آئے گی؟
میں اپنے محفوظ رپورٹر کے عہدے پر گزشتہ کئی سالوں سے، یہ ایک نایاب، انٹرنیٹ کو روک دینے والی دن ہے۔ 2016 میں، بہت بڑا زومبی نیٹ ورک نے انٹرنیٹ رجسٹری Dyn پر سپیم ٹریفک حملہ کیا، جس سے بڑی تعداد میں ٹاپ ویب سائٹس کی خدمات تقریباً بند ہو گئیں۔ 2017 میں، شمالی کوریا نے امریکی حکومت کے ہیکرز کے چوری ہونے والے ٹولز کا استعمال کرتے ہوئے برطانوی صحت کے نظام کو انفیکٹ کیا اور رینسوم ویئر جاری کیا۔ 2024 میں، ایک خراب CrowdStrike اپڈیٹ نے عالمی سطح پر بڑے پیمانے پر آف لائن ہونے کا سبب بنایا، جس سے عالمی طور پر زیادہ تر ونڈوز کمپیوٹرز ایک ساتھ کریش ہو گئے۔
PHP2Shell کے ذریعے، انٹرنیٹ ایک ایسے دن سے بچ گیا جو ورنہ بہت دردناک اور تباہ کن ہوتا۔ لیکن یہ مستقبل میں انٹرنیٹ کو متاثر کرنے والی آخری بڑی واقعہ نہیں ہوگی، اور شاید یہ قدیم ٹیکنالوجی کے کمزور نقاط کا استعمال کرنے والی ایک لہر کا آغاز ہے۔ اس کا بنیادی سبب یہ ہے کہ ان پرانے مگر ہر جگہ موجود سافٹ ویئر میں ابھی تک دریافت نہ ہونے والے خود بخود کمزور نقاط ہیں، جن کی دریافت آئی اے ٹولز کے ذریعے آسان ہو رہی ہے۔
PHP اور دیگر صدیوں پرانی ویب پروگرامنگ زبانوں اور ٹیکنالوجیز "میموری ان سیکیور" سافٹ ویئر کی قسم ہیں، جس کا مطلب ہے کہ وہ حساس ڈیٹا کے میموری اسٹوریج سے لیک یا اوورفلو ہونے کے لیے ایک پوری قسم کے کمزوریوں کا شکار ہو سکتے ہیں۔ امریکی قومی محفوظیت ادارہ کے مطابق، تقریباً 75% ایسے کمزوریاں جن کا فعال طور پر استعمال کیا جا رہا ہے، میموری سے متعلق خامیوں کا فائدہ اٹھاتی ہیں، یعنی ہیکرز اکثر اس قسم کی کمزوریوں کا استعمال کرتے ہیں۔
اس نے صنعت کو میموری سیف لینگویجز جیسے Python، Rust اور Swift کی طرف مائل کیا، جو میموری کے خرابیوں کے استعمال کے لیے اتنے زیادہ عرضی نہیں ہیں۔ اس لیے، یہ لینگویجز اب بھی اپنے پہلے نسخوں کو متاثر کرنے والی بڑی تعداد میں خامیوں سے بہت زیادہ محفوظ ہیں۔
لیکن اب بھی انٹرنیٹ کا ایک کافی بڑا حصہ PHP، میڈیا اور ویڈیو کوڈیکس، کمپریشن لائبریریز، اور دوسری صدی کے شروع کے نرم افزار پر چل رہا ہے—اور جب یہ ٹیکنالوجیز مسئلہ پیدا کرتی ہیں تو پورے نیٹ ورک پر بڑا اثر پڑتا ہے۔