ویب ٹیکنالوجی کی دنیا میں بڑے پیمانے پر استعمال ہونے والی پروگرامنگ زبان PHP میں دو انتہائی سنگین سکیورٹی خامیوں کی نشاندہی کے بعد ڈویلپرز نے فوری پیچ جاری کرنے کی تیاری کی ہے۔ یورپی یونین کے کمپیوٹر ایمرجنسی رسپانس ادارے CERT-EU نے خبردار کیا ہے کہ جو ادارے متاثرہ نظاموں کو فوری اپ ڈیٹ نہ کر سکیں، انہیں خطرے کی مدت میں متعلقہ ویب سائٹس عارضی طور پر آف لائن کرنے پر غور کرنا چاہیے۔
PHP کی سکیورٹی ٹیم کے مطابق دونوں خامیوں کو CVSS v4.0 پیمانے پر 9.2 کی شدت دی گئی ہے، جو انتہائی سنگین خطرے کی علامت ہے۔ ٹیم نے صارفین کو کہا ہے کہ مقررہ ریلیز دستیاب ہوتے ہی اپ گریڈ کیا جائے۔ تفصیلی تکنیکی معلومات، متاثرہ ورژنز اور درست شدہ ریلیز کی فہرست پیچ کے اجرا کے ساتھ شائع کیے جانے کی توقع ہے۔
CERT-EU کے مطابق خامیاں لاگ اِن کے بغیر ریموٹ کوڈ چلانے کا راستہ فراہم کر سکتی ہیں، یعنی حملہ آور کمزور سرور پر دور سے نقصان دہ کوڈ چلا سکتا ہے۔ ویب ہوسٹنگ کمپنی GoDaddy نے بھی خبردار کیا کہ اس نوعیت کا استحصال ڈیٹا چوری، ویب سائٹ کی شکل بگاڑنے یا پورے سرور پر کنٹرول حاصل کرنے تک جا سکتا ہے۔ آسٹریلین سائبر سکیورٹی سینٹر نے اداروں کو اپنے ماحول میں PHP سسٹمز کی شناخت، پیچنگ کی تیاری اور مشتبہ سرگرمی کی نگرانی کا مشورہ دیا ہے۔
PHP انٹرنیٹ کے بڑے حصے کی بنیادی ٹیکنالوجی ہے۔ سکیورٹی ماہرین کے مطابق WordPress، Drupal، Joomla اور Magento سمیت کئی معروف پلیٹ فارمز اور بے شمار ہوسٹنگ نظام اس پر انحصار کرتے ہیں۔ Wordfence نے واضح کیا کہ WordPress ویب سائٹس ایسے سرورز پر چلتی ہیں جہاں PHP نصب ہوتا ہے، اور عام خودکار WordPress اپ ڈیٹس لازماً PHP کی سطح پر درکار اصلاح نافذ نہیں کریں گی؛ اس لیے سائٹ مالکان کو اپنے ہوسٹنگ فراہم کنندہ یا سرور منتظم سے تصدیق کرنا ہو گی۔
Cloudflare کے چیف ٹیکنالوجی افسر ڈین کنیکٹ نے کہا کہ ابتدائی حملوں کے آثار سامنے آ رہے ہیں اور کمپنی عارضی دفاع کے طور پر فائر وال قواعد اپ ڈیٹ کر رہی ہے۔ انہوں نے اسے مستقل حل کے بجائے عارضی حفاظتی اقدام قرار دیا اور اصل پیچ دستیاب ہوتے ہی اسے نصب کرنے پر زور دیا۔ اس واقعے کی وسعت اس لیے اہم ہے کہ PHP کی موجودگی اکثر پس منظر میں ہوتی ہے اور بہت سے اداروں کو اپنے تمام متاثرہ اثاثوں کی مکمل فہرست فوری طور پر معلوم نہیں ہوتی۔
