امریکی سائبر حفاظت ایجنسی CISA نے تصدیق کر دی ہے کہ ہیکرز مقبول PHP ویب سافٹ ویئر میں دو سنگین سیکورٹی خامیوں کا فعال طور پر استعمال کر رہے ہیں، اور امریکی حکومت کے شہری فیڈرل اداروں کو اگلے تین دنوں میں سسٹم کو درست کرنے کا حکم دے دیا گیا ہے۔
اس فوری پیچ کی اطلاع جاری کیے جانے سے ایک ہفتہ پہلے، PHP ویب پروگرامنگ زبان کے طویل عرصہ سے موجود مینٹینر نے ان دونوں خامیوں کے لیے درستگی جاری کی تھی۔ یہ خامیاں ہیکرز کو بغیر پاس ورڈ کے انٹرنیٹ کے ذریعے متاثرہ سسٹمز میں داخل ہونے کی اجازت دیتی ہیں۔ رپورٹس کے مطابق، PHP سافٹ ویئر تقریباً 70 فیصد ویب کے لیے موزوں سرورز پر استعمال ہوتا ہے، جس سے بہت سی ویب سائٹس اور ایپلیکیشنز خطرے میں ہیں۔ خامیوں کی شدت کے باعث، کچھ حکومتوں اور بڑی کمپنیوں نے اپنی ویب سائٹس کو درست کرنے کے لیے آف لائن کر دیا ہے۔
ہاں، یہ خامیاں "گہری" درجہ بندی کی گئی ہیں، جس کا مطلب ہے کہ اگر ان کا استعمال کیا جائے تو بڑا نقصان ہو سکتا ہے، لیکن سیکورٹی تحقیق کاروں کے مطابق، ابتدائی طور پر قابل استعمال حملے تیار کرنا آسان نہیں تھا—لیکن ناممکن نہیں۔ اب حقیقی حملوں کی تصدیق ہونے سے مختلف اداروں پر زور بڑھ گیا ہے کہ وہ برائی، سروس کے رکاوٹ، اور ڈیٹا کے نکالے جانے سے بچنے کے لیے اپنے سسٹم کو جلد از جلد اپ ڈیٹ کریں۔
CISA نے پیر کے بیان میں ان خامیوں کا استعمال کرنے والے کسی کی تفصیلات نہیں دی، لیکن اس کے بیان سے تھوڑی دیر پہلے، سیکیورٹی ریسرچرز نے کہا تھا کہ انہوں نے PHP خامیوں کے استعمال کے ثبوت دریافت کر لیے ہیں۔
یہ PHP2Shell کہلائے جانے والے ایکسپلوٹس نرم افزار میں برسوں تک نہ معلوم رہنے والی خامیوں کا استعمال کرتے ہیں۔ انہیں دو سال پہلے دریافت کیا گیا تھا، لیکن اس نرم افزار کے مراعات کرنے والی غیر منافع بخش فاؤنڈیشن نے اس وقت کہا تھا کہ ہیکرز کے پاس ان خامیوں کو استعمال کرنے کا عملی طریقہ نہیں تھا، اس لیے انہیں اب تک درست نہیں کیا گیا تھا۔ اس سال کے شروع میں، سیکورٹی ریسرچ کمپنی Calif کے محققین نے ایک AI ماڈل کی مدد سے ان دونوں لمبے عرصے سے چھپے ہوئے خامیوں کو استعمال کرنے کا طریقہ دریافت کیا۔
PHP میں یہ دو خامیاں، ان无数 خامیوں میں سے صرف ایک حصہ ہیں جو ابھی تک دریافت نہیں ہوئی ہیں یا سالوں تک ترجیح کم سمجھی گئی ہیں؛ جبکہ AI ماڈلز خامیوں کی دریافت اور ان کا استعمال کرنے کے لیے، خاص طور پر متعدد خامیوں کو جوڑ کر، اپنی صلاحیت بڑھا رہے ہیں، اب یہ خامیاں خطرہ بنا چکی ہیں۔
PHP ان قدیمی ویب ٹیکنالوجیز میں سے ایک ہے جو انٹرنیٹ اور جدید ٹیکنالوجی کے کام کرنے میں مدد کرتی ہیں، لیکن سالوں سے ان کے لیے وسائل اور فنڈنگ کم رہی ہے، جس کی وجہ سے PHP جیسے اوپن سورس پروجیکٹس کے لیے سیکورٹی جانچ کا انتظام کرنا مشکل ہو گیا، جبکہ یہ جانچیں خرابیوں کو زیادہ پہلے ہی دریافت کر سکتی تھیں۔