TL;DR: PHP نے 21 اکتوبر کو دو اہم خامیوں کے لیے اپڈیٹس جاری کیے اور فوری اپڈیٹ کرنے کی ترغیب دی۔ PHP پر مبنی ویب انفراسٹرکچر استعمال کرنے والے کرپٹو کاروباروں کو اپنے سسٹم کے اس لیئر کی جانچ کرنی چاہیے؛ اس مشورے میں بٹ کوائن یا BTCPay Server کے خود پر حملے کا اعلان نہیں کیا گیا ہے۔
کریپٹو کاروبار کے لیے سیکورٹی کا کام والٹ تک محدود نہیں ہوتا۔ ایک اہم PHP اپڈیٹ نے عام ویب سرور سافٹ ویئر کو دوبارہ عملی اجرا کے اجرا کے ایجنڈے پر لے آیا ہے۔
PHP پروجیکٹ کی 21 اکتوبر کی ایڈوائزری دو کمزوریوں کا اشارہ کرتی ہے جو بے نقاب دورِ بھیجے گئے کوڈ اجرا کو ممکن بناتی ہیں۔ اپسٹریم میں درست شدہ ریلیزز PHP 8.5.12، 8.4.27، 8.3.36 اور 8.2.35 ہیں۔ پروجیکٹ متاثرہ صارفین کو فوری اپ ڈیٹ کرنے کی طاقت سے ترغیب دیتا ہے۔
یہ کہا جا رہا ہے کہ ویب درخواستوں کو سرو کرنے والے انسٹالیشنز خطرے میں ہیں اور ایپچ مود_پی ایچ پی کنفیگریشن کو خاص طور پر متاثرہ قرار دیا گیا ہے۔ ڈسٹری بیوشن وینڈرز پچ شدہ پیکجز فراہم کر سکتے ہیں، اس لیے موزوں حل اس بات پر منحصر ہے کہ سافٹ ویئر کس طرح فراہم اور برقرار رکھا جاتا ہے۔
اداگی کا اسٹیک اس کے اداگی پروسیسر سے زیادہ ہوتا ہے
کرپٹو کامرس سے جڑنا عملی ہے۔ BTCPay Server کی سرکاری دستاویز مرچنٹس کو بتاتی ہے کہ وہ اپنا ادائیگی کا نظام WooCommerce سے کیسے جوڑ سکتے ہیں، جس میں موجودہ اسٹور یا ڈپلویڈ اسٹور ماحول کے ساتھ متعلقہ انتظامات بھی شامل ہیں۔
اس ترکیب کا استعمال کرنے والا مرچنٹ کئی اجزاء کو برقرار رکھتا ہے۔ چیک آؤٹ ویب سائٹ، اس کے پلگ انز، ہوسٹنگ ماحول اور ادائیگی کی خدمت کے الگ الگ ذمہ داریاں ہیں۔ ایک اجزاء کو اپ ڈیٹ کرنا یہ ثابت نہیں کرتا کہ اس سٹیک کا ہر دوسرا حصہ اپ ڈیٹ ہو چکا ہے۔
PHP کی مشورت ویب درخواستوں کے رن ٹائم ہینڈلنگ کے بارے میں ہے۔ اس سے ثابت نہیں ہوتا کہ بٹ کوائن کا پروٹوکول متاثر ہوا ہے، اور یہ خود بخود BTCPay Server کے مرکزی سافٹ ویئر میں کوئی خامی کی نشاندہی نہیں کرتا۔
اس سے انتظامیہ اور ہوسٹنگ فراہم کنندگان کے لیے ایک وضاحت ملتی ہے کہ کیا کوئی جڑا ہوا اسٹور فرانت یا سروس متاثرہ PHP انسٹالیشن استعمال کرتا ہے۔ متعلقہ تصدیق یہ ہے کہ چلنے والا ماحول میں فکس موجود ہے، صرف اس بات کے بجائے کہ ایک ایپلیکیشن پلگ ان کو اپ ڈیٹ کر دیا گیا۔
مینٹینر کی درستگی کا پیروی کریں
مرمت اور ورژن-خصوصی تفصیلات کے لیے PHP ٹیم کی ہدایات معتبر شروعاتی نقطہ ہیں۔ غیر مدعم انسٹالیشنز کو فروشنڈ سپورٹ یا برقرار رکھے جانے والے ریلیز پر منتقلی کی خاص توجہ کی ضرورت ہے۔
ایڈوائزری کے ذریعے چوری ہونے والے صارفین کے فنڈز یا کسی خاص کرپٹو کمپنی کے متعلق کوئی دعویٰ ثابت نہیں ہوتا۔ فوری خبر یہ ہے کہ کرپٹو ادائیگی کے تجربے کے نیچے موجود انفراسٹرکچر کے لیے اہم اصلاحات جاری کی گئی ہیں۔