پی ایچ پی کی اہم حفاظتی خامیوں کے دریافت ہونے کے بعد عالمی ویب سائٹس کو آف لائن کر دیا گیا۔

بین الاقوامی حکومتوں اور سائبر سیکیورٹی ایجنسیوں نے ویب سائٹ آپریٹرز پر زور دیا ہے کہ وہ ایک وسیع پیمانے پر استعمال ہونے والی پروگرامنگ زبان میں دو اہم خامیوں کو دور کریں۔ کمزوریاں پی ایچ پی کو متاثر کرتی ہیں، جو انٹرنیٹ کے ایک بڑے حصے کو طاقت دیتی ہے۔

شدید خامیوں کی دریافت

سیکیورٹی فرموں کیلیف اور وز کے محققین نے ان خطرات کو دریافت کیا۔ ان کمپنیوں نے OpenAI کی طرف سے شروع کیے گئے ایک پروگرام میں حصہ لیا جسے Patch the Planet کہا جاتا ہے، جس نے انہیں ویب ڈویلپمنٹ لینگویج کی خامیوں کو تلاش کرنے اور ان کو دور کرنے کے لیے مصنوعی ذہانت کے جدید آلات تک رسائی فراہم کی۔ سائبرسیکیوریٹی فرم ویز نے ان مسائل کو AI ٹیکنالوجی کے ذریعہ دریافت کیا گیا اب تک کا سب سے سنگین قرار دیا ہے، جبکہ OpenAI نے کہا ہے کہ حال ہی میں دیکھنے میں آنے والی سائبرسیکیوریٹی کی سب سے شدید پیچیدگیوں میں سے اس کی درجہ بندی کی گئی ہے۔ اوپن اے آئی کے ایک اندرونی محقق نے بیک وقت درست بگ کا بھی پردہ فاش کیا۔

ایڈوانسڈ AI ٹولز کو استعمال کرنے کے چند ہفتوں کے بعد اگست میں نظر آنے سے پہلے بنیادی کیڑے ایک دہائی سے زیادہ عرصے تک نہیں پکڑے گئے۔ فرنٹیئر ماڈلز نے محققین کو گھنٹوں کے اندر متعدد سافٹ ویئر پلیٹ فارمز پر فنکشنل حملے کے طریقوں کو انجینئر کرنے اور تیار کرنے کی اجازت دی۔ وز نے اندازہ لگایا کہ انٹرنیٹ کا تقریباً ستر فیصد حصہ اس مسئلے سے متاثر ہے، حالانکہ بی بی سی نیوز اس اعداد و شمار کی تصدیق نہیں کر سکا۔ پی ایچ پی فاؤنڈیشن نے اس ماہ کے آخر میں ایک مکمل پیچ کے ساتھ اپنی دریافت کی نقاب کشائی کرنے کا منصوبہ بنایا تھا، لیکن تکنیکی تفصیلات سوشل میڈیا پر لیک ہو گئیں، جس سے فوری عوامی اعلان پر مجبور ہونا پڑا۔

عالمی خلل اور ویب سائٹ شٹ ڈاؤن

متعدد سائبر سیکیورٹی ایجنسیوں نے سفارش کی ہے کہ وہ تنظیمیں جو فوری اصلاحات کا اطلاق کرنے سے قاصر ہیں وہ اپنے سسٹم کو آف لائن لے جائیں۔ اس ایڈوائزری کی وجہ سے مختلف پبلک باڈیز اور پرائیویٹ تنظیمیں صفحات کو آف لائن کھینچنے پر مجبور ہو گئیں۔ بی بی سی نیوز نے رپورٹ کیا کہ فن لینڈ کی حکومت نے اپنی پبلک ویب سروسز کو عارضی طور پر بند کر دیا، اور نیدرلینڈ کی سائبر سیکیورٹی ایجنسی نے اپنی ویب سائٹ کو آف لائن کر دیا۔ امریکی قومی سلامتی ایجنسی نے X کے ذریعے تقابلی ہدایات جاری کیں جس میں اداروں کو نیٹ ورکس کو منقطع کرنے کی ہدایت کی گئی ہے اگر پیچ پر عمل درآمد نہیں کیا جا سکتا ہے۔ دریں اثنا، وائٹ ہاؤس نے کہا کہ وفاقی حکام نے ایک قرارداد کو تیز کرنے کے لیے پریمیئر AI ڈویلپرز کے ساتھ تعاون کیا۔ جاپان میں، وزیر اعظم سنائے تاکائیچی نے X پر لوگوں پر زور دیا کہ وہ اس بات کا معائنہ کریں کہ آیا ان کے قابل رسائی آن لائن پورٹلز نے PHP کا استعمال کیا ہے۔

ویکیمیڈیا فاؤنڈیشن نے کہا کہ اس نے حفاظتی پیچ کے انتظار میں حفاظتی احتیاط کے طور پر متعدد کارروائیوں کو منقطع کر دیا ہے، جس کی وجہ سے ویکیپیڈیا کے کچھ حصوں تک رسائی کے عارضی مسائل ہیں۔ ایڈنبرا کونسل کی ویب سائٹ بھی ناقابل رسائی ہو گئی، ساتھ ہی بی بی سی کی نشریاتی خصوصیات جیسے ڈاکٹر کون اور دی ٹریٹرز کے لیے آن لائن ہومز، اگرچہ انہوں نے واضح طور پر پی ایچ پی کے لنک کی تصدیق نہیں کی۔ آرٹ پلیٹ فارم DeviantArt نے وجہ بتائے بغیر کہا کہ یہ عارضی طور پر دیکھ بھال کے لیے بند تھا۔ نیدرلینڈز میں، ڈچ پبلک ہیلتھ ایجنسی نے پارلیمنٹ کے ایوان زیریں، Tweede Kamer کے ساتھ، اپنی ویب سائٹس کو بھی آف لائن لے لیا۔ ای کامرس کی بڑی کمپنی ایمیزون نے نوٹ کیا کہ اسے عوامی اطلاع سے کچھ دن پہلے متعدد بدنیتی پر مبنی مداخلت کے سلسلے کا سامنا کرنا پڑا، حالانکہ ممکنہ حملہ آوروں کو اس خطرے کے بارے میں کیسے معلوم تھا، یہ نامعلوم ہے۔

تکنیکی خطرات اور ماہرین کی وارننگز

سائبرسیکیوریٹی کمپنیوں اور ماہرین نے خبردار کیا کہ خامیاں سرور فائل سسٹمز اور ڈیٹابیس کو براہ راست راستہ فراہم کرتی ہیں۔ CERT-EU نے کہا کہ خطرے کے اسکور غیر مستند ریموٹ کوڈ پر عمل درآمد کے امکان کی نشاندہی کرتے ہیں، جو نقصان دہ اداکاروں کو نقصان دہ سافٹ ویئر کو تعینات کرنے اور ویب پورٹلز کو غیر فعال کرنے کی صلاحیت فراہم کر سکتا ہے۔ سائبرسیکیوریٹی کمپنی ہنٹریس نے نوٹ کیا کہ پی ایچ پی خاموشی سے ورڈپریس، ڈروپل، جملہ، میگینٹو سائٹس، مشترکہ ہوسٹنگ پلیٹ فارمز، اور کنٹرول پینلز کو اپنی موجودگی کی تشہیر کیے بغیر طاقت دیتا ہے۔ سوفوس کاؤنٹر تھریٹ یونٹ کے ماہر ڈان اسمتھ نے بی بی سی کو بتایا کہ ممکنہ طور پر یہ مسئلہ بدنیتی پر مبنی آپریٹرز کے لیے بنیادی توجہ کا مرکز بن جائے گا۔ بنیادی مشکل عوامی ویب صفحات، مواد کے نظم و نسق کے نظام، اور فریق ثالث سافٹ ویئر کے نیچے چلنے والی PHP کی ہر چھپی ہوئی مثال کو تلاش کرنے اور ان کی نگرانی پر مرکوز ہے۔

Cloudflare کے چیف ٹیکنالوجی آفیسر ڈین کنچٹ نے نئے ویکٹرز کے خلاف تخفیف کو اپ ڈیٹ کرتے ہوئے ابتدائی حملوں کو ابھرتے ہوئے دیکھنے کی اطلاع دی۔ گورللا سائبر سیکیورٹی کے پال اسپین نے وضاحت کی کہ پی ایچ پی وکی پیڈیا جیسی سائٹس پر صارفین کے لیے معلومات اکٹھا کرتی ہے اور پیش کرتی ہے، لیکن سسٹم کو حملہ آوروں نے بغیر تصدیق کے ویب سرورز کا کنٹرول سنبھال لیا اور حساس ڈیٹا چوری کیا۔ ایڈیلیڈ یونیورسٹی کی محقق جِل سلے نے خبردار کیا کہ ہیکرز یا غیر ملکی اداکاروں کی جانب سے نجی ڈیٹا کو ضبط کرنے کے لیے ہتھیار بنانا تباہ کن ثابت ہوگا۔ UNSW سڈنی کے محقق سلیل کنہرے نے نوٹ کیا کہ تکنیکی ڈیٹا کی عوامی سطح پر پھیلاؤ آنے والے عرصے میں حملہ آوروں میں متوقع اضافہ کا مطلب ہے۔

ایکشن کی ضرورت اور سفارشات

پی ایچ پی فاؤنڈیشن نے سافٹ ویئر کے تازہ ترین ورژنز کے لیے ہنگامی پیچ تیار کیے ہیں۔ تاہم، اپ ڈیٹ صرف حالیہ ورژنز کے لیے جاری کیا گیا تھا، پی ایچ پی 8.1 یا اس سے پہلے چلانے والے منتظمین کو سختی سے ہجرت کرنے کا مشورہ دیا گیا تھا۔ CERT-EU نے اشارہ کیا کہ یہ مسئلہ PHP 5 کے تمام ورژنز کو متاثر کر سکتا ہے، جو 2004 میں شروع ہوا تھا۔ برطانیہ، امریکہ، یورپی یونین، آسٹریلیا اور سنگاپور میں سائبر سیکیورٹی ایجنسیوں نے فوری کارروائی پر زور دیا۔ برطانیہ کے نیشنل سائبر سیکیورٹی سینٹر نے تنظیموں کو مشورہ دیا کہ وہ حملہ آوروں کے ذریعے نصب کیے گئے پچھلے دروازوں کی جانچ کریں اور اپ ڈیٹس انسٹال ہونے کے بعد تیسرے فریق کے دکانداروں کی مسلسل نگرانی کریں۔ محققین نے عوام کو یہ بھی یاد دلایا کہ وہ ممکنہ فشنگ پیغامات کے خلاف چوکس رہیں جو اس واقعے کے ارد گرد پھیلی ہوئی تشہیر کا فائدہ اٹھاتے ہیں۔

سید عقیل نے اس کہانی کی تصدیق کی۔