دنیا بھر میں بڑے پیمانے پر استعمال ہونے والی پروگرامنگ زبان PHP کے ڈویلپرز نے دو سنگین سکیورٹی خامیوں کے لیے فوری اصلاحی پیچ جاری کرنے کی تیاری کی ہے۔ دونوں خامیوں کو CVSS v4.0 پیمانے پر 9.2 کی شدت دی گئی ہے۔ یورپی یونین کے کمپیوٹر ایمرجنسی رسپانس ٹیم CERT-EU نے اداروں کو ہدایت کی ہے کہ پیچ دستیاب ہوتے ہی متاثرہ سسٹمز کو اپ ڈیٹ کریں اور اگر فوری اپ ڈیٹ ممکن نہ ہو تو متعلقہ ویب سائٹس عارضی طور پر آف لائن کرنے پر غور کریں۔
PHP انٹرنیٹ کے وسیع حصے میں استعمال ہوتی ہے اور WordPress، Drupal، Joomla اور Magento سمیت متعدد ویب پلیٹ فارمز اور ہوسٹنگ نظام اس پر انحصار کرتے ہیں۔ PHP کی سکیورٹی ٹیم نے صارفین سے کہا کہ اصلاحی ریلیز دستیاب ہوتے ہی اپ گریڈ کیا جائے۔ خامیوں کی مکمل تکنیکی تفصیل، متاثرہ ورژنز اور درست شدہ ریلیز پیچ کے اجرا کے ساتھ شائع کیے جانے تھے تاکہ حملہ آوروں کو قبل از وقت استحصال کی اضافی معلومات نہ ملیں۔
CERT-EU کے مطابق 9.2 کی درجہ بندی ایسی غیر مصدقہ ریموٹ کوڈ ایگزیکیوشن کے خطرے کی نشاندہی کرتی ہے جس میں حملہ آور لاگ ان کیے بغیر کمزور سرور پر نقصان دہ کوڈ چلانے کی کوشش کر سکتا ہے۔ آسٹریلین سائبر سکیورٹی سینٹر نے بھی اداروں کو اپنے ماحول میں PHP سسٹمز کی شناخت، پیچ لگانے کی تیاری اور مشتبہ سرگرمی کی نگرانی کا مشورہ دیا۔ آسٹریلوی ادارے نے کہا کہ اسے اس وقت ان خامیوں کے فعال استحصال کا علم نہیں تھا۔
دوسری طرف Cloudflare کے چیف ٹیکنالوجی افسر ڈین نیکٹ نے کہا کہ ابتدائی حملوں کے آثار سامنے آ رہے ہیں اور کمپنی عارضی تحفظ کے لیے اپنے فائر وال قواعد اپ ڈیٹ کر رہی ہے۔ انہوں نے واضح کیا کہ یہ صرف عارضی بندوبست ہے اور مستقل حل پیچ لگانا ہے۔ مختلف اداروں کے مشاہدات میں فرق اس لیے اہم ہے کہ کسی مخصوص ماحول میں حملے کی موجودگی اور عالمی سطح پر تصدیق شدہ وسیع استحصال ایک ہی بات نہیں ہیں۔
Wordfence نے WordPress منتظمین کو متنبہ کیا کہ عام خودکار WordPress اپ ڈیٹس PHP سرور کی خامی خود درست نہیں کریں گی، اس لیے ہوسٹنگ فراہم کنندہ یا سرور ایڈمنسٹریٹر سے PHP اپ ڈیٹ کی ذمہ داری واضح کرنا ضروری ہے۔ دستیاب معلومات کے مطابق PHP 5 سے آگے کے متعدد ورژن ممکنہ طور پر متاثر ہو سکتے ہیں، تاہم حتمی متاثرہ ورژن فہرست پیچ کی تکنیکی تفصیلات کے ساتھ طے ہوگی۔
