یہ زبان مشین کے ذریعے ترجمہ کی گئی ہے اور کسی انسان نے اس کا جائزہ نہیں لیا۔

NIVΞCTOR
خبریںتعاون

کاؤنٹر ابھی شروع نہیں ہوا

ٹیکنالوجی · خبر

شدید PHP خامیاں حکومتی ویب سائٹس کو ایمرجنسی پیچ سے پہلے آف لائن کرنے پر مجبور کرتی ہیں

اشاعت:

مختصراً

دو اہم PHP خامیاں، CVE-2026-109618 اور CVE-2026-109619، جنہوں نے نیدرلینڈز اور فن لینڈ کی حکومتی ایجنسیوں کو 21 اکتوبر 2026 کو ویب سائٹس آف لائن کرنے پر مجبور کیا، PHP کے ڈیولپرز کے ایمرجنسی پیچ جاری کرنے سے کچھ گھنٹے پہلے۔ دونوں خامیاں CVSS v4.0 اسکیل پر 9.2 کی درجہ بندی کے ساتھ ہیں اور بغیر توثیق کے دور دراز کوڈ کو انجام دینے کی اجازت دیتی ہیں؛ Cloudflare نے اصلاح جاری ہونے سے پہلے ابتدائی استعمال کی کوششوں کی رپورٹ کی۔

یہ نسخہ اصل متن (English) کا مشینی ترجمہ ہے۔ اصل متن پڑھیں

PHP کی ڈیولپمنٹ ٹیم نے 21 اکتوبر 2026 کو 14:00 UTC پر سائیکل سے باہر سیکیورٹی ریلیز کا شیڈول بنایا تاکہ دو اہم خامیوں کو ٹھیک کیا جا سکے، جس کے بعد تفصیلات ایک دن پہلے آن لائن لیک ہو گئیں، The Hacker News اور سیکیورٹی فرم Sansec کے مطابق۔ خامیوں کو CVE-2026-109618 اور CVE-2026-109619 کے طور پر ٹریک کیا گیا اور محققین نے انہیں غیر رسمی طور پر "PHP2Shell" کا نام دیا، ایک نام جو PHP کی اپنی ٹیم نے اختیار نہیں کیا، The Hacker News نے رپورٹ کیا۔

خامیاں کیا ہیں

Sansec کی تکنیکی رپورٹ کے مطابق، CVE-2026-109618 PHP کی اپ لوڈ پیشرفت سنبھال میں استعمال-کے-بعد-آزاد بگ ہے جو سرور میموری کو ظاہر کر سکتا ہے — پاس ورڈ، سیشن ٹوکن اور TLS نجی کلیدوں سمیت — PHPSESSID کوکی کے ذریعے، اس طریقے سے جس کا موازنہ فرم نے 2014 Heartbleed بگ سے کیا۔ CVE-2026-109619 ایک الگ استعمال-کے-بعد-آزاد ہے جو میموری کی تھکاوٹ کے دوران ایک مہلک خرابی کے دوران متحرک ہوتا ہے، PHP کے OPcache میں قسم کے الجھن کے ساتھ ملایا جاتا ہے، جو Sansec کا کہنا ہے کہ دور دراز کوڈ کو انجام دینے کو فعال کرتا ہے۔ دونوں بگ multipart/form-data درخواستوں کے ذریعے پہنچے ہیں، ویب صفحات فائل اپ لوڈ کے لیے استعمال کرتے ہیں۔

یوکے کے نیشنل سائبر سیکیورٹی سینٹر (NCSC) نے اپنی 21 اکتوبر کی حکمت عملی میں خطرہ کو بیان کیا جو حملہ آور کو "PHP چلانے والے کسی بھی ویب سرور پر کمانڈ چلانے" کی اجازت دیتا ہے بغیر لاگ ان کی ضرورت، اور اس مسئلے کو اہم درجہ بندی دی۔

حکومتوں اور پلیٹ فارمز کیوں آف لائن گئے

کیونکہ PHP ویب کے بہت بڑے حصے کی بنیاد ہے، کئی تنظیموں نے پیچ کا انتظار کرنے کی بجائے عوامی رخ کی سائٹس کو بند کرنے کا فیصلہ کیا۔ Techzine نے رپورٹ کیا کہ ڈچ حکومتی خدمات جن میں MijnOverheid، DigiD اور پارلیمانی نظام شامل ہیں عارضی طور پر آف لائن لیے گئے، اور نیوز وائر کی کہانی KSL کی طرف سے بیان کی گئی کہ نیدرلینڈز اور فن لینڈ میں سائبر سیکیورٹی ایجنسیوں نے احتیاط کے طور پر حکومتی سائٹس کو نیچے کر دیا۔ Techzine نے یہ بھی رپورٹ کیا کہ یوکے کے NCSC اور امریکی Cybersecurity and Infrastructure Security Agency (CISA) نے انتباہات جاری کیے جو منتظمین سے متاثر نظاموں کو پیچ کرنے یا غیر فعال کرنے کی ترغیب دیتے ہیں، جبکہ Wikipedia اور Meta انجام شدہ PHP رن ٹائمز اور ویب-ایپلیکیشن-فائر وال قوانین لاگو کرتے ہوئے چلتے رہے بجائے اندھیرے میں جانے کے۔

Sansec نے رپورٹ کیا کہ PHP کور ڈیولپر Gina Peter Banyard نے پیچ سے پہلے سرور کو آف لائن کرنے کو ان تنظیموں کے لیے سب سے عقلمند آپشن قرار دیا جو فوری طور پر اصلاح لاگو نہیں کر سکتے — مشورے جن کی کئی ڈچ باڈیز نے پیروی کی۔

Cloudflare نے کہا کہ اسے سرکاری پیچ جاری ہونے سے پہلے استعمال کی کوششوں کو دیکھنا شروع ہو گیا۔ KSL رپورٹ کے مطابق، Cloudflare کے چیف ٹیکنالوجی آفیسر نے کہا کہ کمپنی ابتدائی حملوں کو دیکھ رہی ہے اور نئے حملے کے طریقے ظاہر ہونے پر مسلسل اپنی کمزوریوں کو اپڈیٹ کر رہی ہے، Cloudflare کی حفاظت کو عارضی رکاوٹ کے طور پر بیان کرتے ہوئے جب تک PHP کی سرکاری اصلاح نہیں آئے۔ Sansec نے الگ سے رپورٹ کیا کہ Cloudflare نے 07:43 UTC پر 21 اکتوبر کو حملوں کا پتہ لگایا، تقریباً چھے گھنٹے PHP کی شیڈول شدہ اصلاح سے پہلے۔

نمائش کا پیمانہ: تخمینے مختلف ہیں

مختلف ذرائع کے طرف سے بیان کردہ نمائش اور شدت کا اندازہ
میٹرکشخصیتذریعہ
CVSS v4.0 شدت کی درجہ بندی9.2 (سرکاری)؛ غیر سرکاری لیک کی گئی دعویاں 10.0 کا حوالہ دیتی ہیںNCSC UK؛ The Hacker News
PHP 8.1 یا پرانے پر انٹرنیٹ کے سامنے والے میزبان~884,000 (Shodan ڈیٹا، 20 اکتوبر)The Hacker News
انٹرنیٹ سے منسلک میزبانیں جن کو خطرہ قرار دیا گیا~1.3 ملینTechzine
سب سے پہلے کمزور کوڈ کا راستہPHP 5.4.0 تک پہنچایا گیا (2012)Sansec

کیا معلوم ہے اور کیا نہیں

PHP کی ٹیم نے تصدیق کی کہ PHP 8.2، 8.3، 8.4 اور 8.5 کو سرکاری اصلاحات ملیں گی — The Hacker News کے مطابق ورژنز 8.5.12، 8.4.27، 8.3.36 اور 8.2.35 کی توقع ہے — جبکہ زندگی سے ختم ہونے والی شاخیں 8.1 اور پرانے فروخت کار کی طرف سے پیچ نہیں کی جائیں گی۔ Sansec نے کہا کہ بنیادی غلط کوڈ PHP 5.4.0 تک جاتا ہے، یعنی بہت سی پرانی، غیر معاون شدہ نصب شدگی ممکنہ طور پر کمزور رہتی ہے بغیر سرکاری اصلاح کے دستیاب۔ The Hacker News کے مطابق، اس کی 21 اکتوبر کی رپورٹ میں کوئی عوامی ثبوت کی مثال دستیاب نہیں تھی، اور خامیوں کو CISA کے Known Exploited Vulnerabilities کیٹلاگ میں شامل نہیں کیا گیا تھا — اگرچہ Cloudflare کی بعد میں بیان نے ظاہر کیا کہ حملے کی کوششیں پہلے سے جاری تھیں۔

پس منظر: خامیاں کیسے ملیں

Sansec کی ٹائم لائن پہلے بگ کو تحقیق سے تلاش کرتی ہے جو 1 اگست 2026 کو شروع ہوئی، ایک محقق نے "Calif" کے ہینڈل کے تحت OpenAI کے ساتھ کام کرتے ہوئے، جنہوں نے اسے 11 اگست کو PHP کی سیکیورٹی ٹیم کو رپورٹ کیا۔ ایک دوسری، متعلقہ رپورٹ Wiz Research ٹیم سے آئی — Sansec کے طرف سے نام دیا گیا Sagi Tzadik، Shir Tamari، Nir Ohfeld اور Tomer Schwartz — 24 اگست کو۔ Sansec نے کہا کہ دونوں تحقیقی ٹیمز نے AI ماڈلز کو PHP کے ورژنز میں استعمال کو تلاش کرنے اور انطباق دینے میں تیز رفتار کرنے کا سہرا دیا، ایک محقق نے کہا کہ تقریباً ایک ہفتے میں کام کی استعمال تک پہنچے۔ 20 اکتوبر کو منسلک، محفوظ انکشاف کی تفصیلات عوام میں لیک ہو گئیں، PHP کو اپنے اعلان کو آگے کرنے اور 21 اکتوبر پیچ ریلیز کو سیٹ کرنے پر مجبور کیا۔

سوالات

PHP2Shell کیا ہے؟
PHP2Shell وہ نام ہے جو محققین نے دو الگ الگ اہم PHP بگز، CVE-2026-109618 اور CVE-2026-109619 کو ملا کر دیا، جو ایک حملہ آور کو بغیر لاگ ان کے ویب سرور پر کوڈ چلانے دے سکتے ہیں، The Hacker News اور Sansec کے مطابق۔
کون سے PHP ورژنز متاثر ہیں؟
The Hacker News کے مطابق، PHP کے فروخت کنندہ PHP 8.2، 8.3، 8.4 اور 8.5 کے لیے اصلاحات جاری کر رہے ہیں۔ Sansec نے رپورٹ کیا کہ کمزور کوڈ پیٹرن PHP 5.4.0 تک جاتا ہے، یعنی پرانی، زندگی سے ختم ہونے والی ورژنز بھی انجام دی جا سکتی ہیں لیکن سرکاری فروخت کار پیچ نہیں ملے گا۔
حکومتی ویب سائٹس کیوں آف لائن گئیں؟
ڈچ اور فن لینڈ کی حکومتی ایجنسیوں نے احتیاط کے طور پر سائٹس کو آف لائن کیا، پیچ تیار ہونے سے پہلے، Sansec کے مطابق PHP کور ڈیولپر Gina Peter Banyard کے رہنمائی کی پیروی کرتے ہوئے، جنہوں نے اسے ان تنظیموں کے لیے سب سے عقلمند آپشن قرار دیا جو فوری طور پر پیچ نہیں کر سکتے۔
کیا کمزوری فی الوقت استعمال کی جا رہی ہے؟
Cloudflare نے PHP کی سرکاری اصلاح سے پہلے 21 اکتوبر کو حملے کی کوششوں کا پتہ لگایا رپورٹ کیا، Sansec اور KSL کے مطابق۔ The Hacker News نے رپورٹ کیا کہ، اس دن اس کی رپورٹ تک، کوئی عوامی ثبوت کی مثال دستیاب نہیں تھی اور خامیوں کو ابھی CISA کے Known Exploited Vulnerabilities کیٹالگ میں درج نہیں کیا گیا تھا۔
کیا پیچ جاری ہو چکا ہے؟
PHP نے 21 اکتوبر 2026 کو 14:00 UTC پر سائیکل سے باہر سیکیورٹی ریلیز کا شیڈول بنایا، The Hacker News کے مطابق اصلاح شدہ ورژنز 8.5.12، 8.4.27، 8.3.36 اور 8.2.35 کی توقع ہے۔

ذرائع

  1. NCSC UK — Critical security issue affecting PHP
  2. The Hacker News — PHP2Shell: Two Unpatched Critical PHP RCE Flaws
  3. Sansec — Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619 (PHP2Shell)
  4. KSL — Cyber agency warns websites may go dark as PHP prepares critical fix
  5. Techzine — Serious vulnerabilities in PHP, emergency patches on the way

یہ تحریر مصنوعی ذہانت سے تیار کی گئی اور اشاعت سے پہلے ذرائع کی خودکار جانچ سے گزری۔ اگر آپ کو کوئی غلطی نظر آئے تو تصحیح کی درخواست کریں۔ تصحیح یا جواب کی درخواست · ہم کیسے کام کرتے ہیں

متعلقہ تحریریں