ٹیکنالوجی · خبر
دو اہم PHP خامیاں جن کا نام "PHP2Shell" ہے ویب کے اکثر حصے کو بے نقاب کرتی ہیں
اشاعت:
مختصراً
دو اہم PHP کمزوریاں جن کا مجموعی نام "PHP2Shell" ہے، حملہ آوروں کو اس سیکیورٹی فرم کے مطابق جو انہیں تلاش کیا ہے، بغیر لاگ ان کیے ویب سرورز پر بدنیتی سے بھرا کوڈ چلانے دیتی ہیں۔ CVE-2026-109618 اور CVE-2026-109619 کے لیے پیچز 21 اکتوبر 2026 کو جاری کیے گئے، محققین کے ذریعے پہلے سے اطلاع دیے جانے کے کئی مہینے بعد، اور متعدد کمپنیوں نے اس کے بعد سے جنگلی میں استحصال کی کوششوں کو ریکارڈ کیا ہے۔
یہ نسخہ اصل متن (English) کا مشینی ترجمہ ہے۔ اصل متن پڑھیں
21 اکتوبر 2026 کو، PHP پروجیکٹ نے دو اہم دوری سے کوڈ کو چلانے میں کامیابی کی کمزوریوں کے انکشاف کے بعد زبان کے درست شدہ ورژن جاری کیے، جن کا مجموعی نام "PHP2Shell" ہے۔ یہ خامیاں، CVE-2026-109618 اور CVE-2026-109619 کے طور پر ٹریک کی جاتی ہیں، کلاؤڈ سیکیورٹی کمپنی Wiz Research نے تلاش کیں، جس نے اپنے عوامی رپورٹ کے مطابق Calif اور OpenAI کی تنظیموں کو تلاش، مربوط کاری اور پیچ کی تصدیق میں شراکت کا اعتبار دیا۔
دونوں کمزوریاں کیا کرتی ہیں
Wiz کہتے ہیں کہ یہ دونوں CVE اصل میں چار الگ الگ بنیادی خامیوں کو جمع کرتے ہیں۔ CVE-2026-109618 PHP کے سیشن اپ لوڈ پیشرفت ڈی سیریالائزر میں استعمال کے بعد کی خرابی کا احاطہ کرتا ہے، جس کا دوری کوڈ کو چلانے میں استعمال کیا جا سکتا ہے، اور ایک متعلقہ خرابی جو بغیر توثیق کے چلتے ہوئے PHP ورکر پروسیس سے میموری لیک کر سکتی ہے۔ CVE-2026-109619 PHP کی مہلک خرابی کے ٹریس میں استعمال کے بعد کی خرابی کا احاطہ کرتا ہے اور OPcache میں الگ قسم کی الجھن کی خرابی، جو PHP کا مشترکہ میموری بائٹ کوڈ کیش ہے۔
Wiz کے مطابق، دونوں مسائل کوڈ پاتھوں میں ہیں جن سے تقریباً ہر PHP درخواست گزرتی ہے: میموری کا انتظام اور خرابی کو سنبھالنا۔ PHP فاؤنڈیشن نے بھی یہی نقطہ نظر دیا جس کی اطلاع SecurityWeek نے دی۔
دونوں مسائل PHP کے ان حصوں میں ہیں جن سے تقریباً ہر درخواست ملتی ہے: میموری کا انتظام اور خرابی کو سنبھالنا۔
دریافت کا ٹائم لائن
Wiz کے تحقیقی ٹیم — جن کا نام اس کے بلاگ پوسٹ میں Sagi Tzadik، Shir Tamari، Nir Ohfeld اور Tomer Schwartz کے طور پر دیا گیا ہے — کہتے ہیں کہ انہوں نے پہلی خرابی 19 اگست 2026 کو پائی، اور اگلے دونوں دنوں میں WordPress اور Drupal کی تنصیبات کے خلاف کام کرنے والی دوری سے کوڈ کو چلانے کی کامیابی کی تصدیق کی۔ ٹیم نے 24 اگست 2026 کو اپنے نتائج کو PHP سیکیورٹی ٹیم کو رپورٹ کیا۔ عوامی انکشاف اور متعلقہ پیچز 21 اکتوبر 2026 کو اس کے بعد آئے۔
Wiz کہتے ہیں کہ اس نے AI کوڈنگ ماڈلز، بشمول Google کے Gemini 4 Argon اور OpenAI کے GPT-5.6 Sol، استعمال کیے تاکہ ثبوت کے تصورات کو بنانے میں مدد ملے، اس کام کو بیان کرتے ہوئے جو پہلے ماہر محققین کو مہینے لگتے تھے گھنٹوں میں حاصل ہو سکتا ہے۔
کون متاثر ہے
Wiz بیان کرتے ہیں کہ بنیادی خامیاں تقریباً گزشتہ دہائی میں جاری ہر PHP ورژن میں موجود ہیں، کم از کم ایک دونوں CVE میں سے PHP 5.4 کے بعد سے موجود ہے۔ کمپنی کہتی ہے کہ اس نے بے حق دوری سے کوڈ کو چلانے کی تصدیق کی تین وسیع پیمانے پر استعمال شدہ مواد انتظام کے نظام میں: WordPress، Drupal اور Joomla۔ SecurityWeek رپورٹ کرتے ہیں کہ خامیاں عام PHP تعینات کے طریقوں کو متاثر کرتی ہیں، بشمول PHP-FPM، Apache mod_php کے ساتھ، php-cgi، FrankenPHP اور LiteSpeed۔
Wiz نے نمائش کے پیمانے کو انٹرنیٹ کے تقریباً 70٪ کو متاثر کرنے کے طور پر کیا، جو ویب سائٹوں کے حصے کا حوالہ ہے جو کمپنی کے رپورٹ کے مطابق کسی نہ کسی شکل میں PHP پر چلتی ہیں۔
| چیز | تفصیل |
|---|---|
| CVE-2026-109618 | سیشن اپ لوڈ پیشرفت ڈی سیریالائزر میں استعمال کے بعد کی خرابی؛ دوری کوڈ کو چلانے میں سہولت فراہم کرتی ہے |
| CVE-2026-109619 | مہلک خرابی کے ٹریس میں استعمال کے بعد کی خرابی اور ایک OPcache قسم کی الجھن کی خرابی |
| شدت | PHP سیکیورٹی ٹیم کی طرف سے 9.2 کے طور پر درجہ دیا گیا، SecurityWeek کے مطابق |
| درست شدہ ورژن | PHP 8.5.12، 8.4.27، 8.3.36، 8.2.35، 21 اکتوبر 2026 کو جاری کیے گئے |
| بیک پورٹ | PHP 7.4، 8.0 اور 8.1 کے لیے بھی کم سے کم اصلاحات جاری کی گئیں |
| دریافت کنندہ | Wiz Research، Calif اور OpenAI کی تنظیموں کو دریافت، مربوط کاری اور پیچ کی تصدیق میں شراکت کا اعتبار دیتے ہوئے |
انکشاف کے بعد سے استحصال کی کوششیں
متعدد سیکیورٹی فرموں نے انکشاف کے ارد گرد حملے کی ٹریفک کی نگرانی کی۔ SecurityWeek رپورٹ کرتے ہیں کہ فرم watchTowr نے پیچز کے اترتے ہی جنگلی میں استحصال کی پہلی کوششوں کی شناخت کی لیکن کامیاب سمجھوتے کی تصدیق نہ کی۔ Hadrian نے SecurityWeek کو بتایا کہ اس نے پیچز جاری ہونے سے پہلے ہی بڑے پیمانے پر استحصال کی کوششوں کا مشاہدہ کیا، جو PHP کے سیشن اپ لوڈ پیشرفت کوڈ پاتھ پر مرکوز تھا۔ Patchstack، Cloudflare اور Vega نے انکشاف کے دن کوشش کو لاگ کیا، اور Amazon نے کہا کہ اس نے پیچز کے جاری ہونے سے چار دن پہلے استحصال کی کوششوں کی شناخت کی تھی۔
PHP کا پیمانہ اس کو اہم کیوں بناتا ہے
PHP کو ڈینش-کینیڈا کے پروگرامر Rasmus Lerdorf نے تخلیق کیا، پہلی بار 1995 میں جاری کیا گیا، اور باقی ویب سائٹس کی تعمیر کے لیے سب سے وسیع پیمانے پر استعمال شدہ سرور کے لحاظ سے اسکرپٹنگ زبانوں میں سے ایک رہتا ہے، Wikipedia کے مطابق۔ یہی ذریعہ نوٹ کرتا ہے کہ نومبر 2025 تک، PHP سے چلنے والی نصف سے زیادہ ویب سائٹیں ابھی بھی غیر معاون PHP 7 برانچ پر چل رہی تھیں، اور تقریباً 9.7٪ ابھی بھی PHP 5 پر تھے، جو سالوں پہلے بند کر دیا گیا تھا — ایک وراثتی سافٹ ویئر کا نمونہ جو سیکیورٹی محققین کہتے ہیں کہ PHP ایکوسسٹم کے وسیع حصوں میں تیز رفتار پیچنگ میں مشکل پیدا کرتا ہے۔
سوالات
- PHP2Shell کیا ہے؟
- PHP2Shell وہ نام ہے جو محققین نے دو اہم PHP کمزوریوں، CVE-2026-109618 اور CVE-2026-109619 کو دیا، جو ایک حملہ آور کو بغیر لاگ ان کیے ویب سرور پر کوڈ چلانے دے سکتی ہے، Wiz Research کے مطابق۔
- PHP کے کون سے ورژن متاثر ہیں؟
- Wiz کہتے ہیں کہ کم از کم ایک دونوں میں سے ایک خرابی PHP ورژن 5.4 سے موجودہ ریلیز تک متاثر کرتی ہے۔ PHP 8.5.12، 8.4.27، 8.3.36 اور 8.2.35 کے لیے پیچز جاری کیے گئے، PHP 7.4، 8.0 اور 8.1 کے لیے کم سے کم بیک پورٹس کے ساتھ، SecurityWeek کے مطابق۔
- کیا PHP2Shell کو واقعی استحصال کیا گیا ہے؟
- جی۔ SecurityWeek رپورٹ کرتے ہیں کہ watchTowr، Hadrian، Patchstack، Cloudflare، Vega اور Amazon نے سب نے الگ الگ استحصال کی کوششوں کو لاگ کیا، ان میں سے کچھ 21 اکتوبر 2026 کو سرکاری پیچز جاری ہونے سے پہلے۔
- PHP2Shell کی کمزوریوں کو کس نے دریافت کیا؟
- کلاؤڈ سیکیورٹی فرم Wiz نے 19 اگست 2026 سے شروع کرتے ہوئے خامیاں تلاش کیں، اور انہیں 24 اگست کو PHP سیکیورٹی ٹیم کو رپورٹ کیا۔ Wiz نے Calif اور OpenAI تنظیموں کو دریافت، مربوط کاری اور پیچ کی تصدیق میں شراکت کا اعتبار دیا، اس کے رپورٹ کے مطابق۔
- کون سے پلیٹ فارمز کو خطرہ تصدیق شدہ پایا گیا؟
- Wiz کہتے ہیں کہ اس نے WordPress، Drupal اور Joomla کی موجودہ ریلیز کے خلاف بے حق دوری سے کوڈ کو چلانے کی کامیابی کو ظاہر کیا جو متاثر PHP ورژن پر چل رہی تھیں۔
ذرائع
یہ تحریر مصنوعی ذہانت سے تیار کی گئی اور اشاعت سے پہلے ذرائع کی خودکار جانچ سے گزری۔ اگر آپ کو کوئی غلطی نظر آئے تو تصحیح کی درخواست کریں۔ تصحیح یا جواب کی درخواست · ہم کیسے کام کرتے ہیں
متعلقہ تحریریں
ٹیکنالوجیفہرست
بہترین Android ایپیں اور یوٹیلٹیز جو آپ Google Play Store سے باہر حاصل کر سکتے ہیں
Android صارفین Google Play تک محدود نہیں ہیں: اوپن سورس رپوزٹری F-Droid، گمنام Google Play کلائنٹ Aurora Store، اپ ڈیٹ ٹریکر Obtainium، اور Shizuku پر مبنی کیٹلاگ ShizuStore وہ ایپیں تقسیم کرتے ہیں جو آفیشل سٹور درج نہیں کرتا یا اجازت نہیں دیتا۔ یہاں نو اسٹوری اور یوٹیلٹیز ہیں جو جاننے قابل ہیں، ان کی اپنی لسٹنگ اور MakeUseOf اور Pocket-lint سے رپورٹنگ کی بنیاد پر۔
ٹیکنالوجیمضمون
PHP2Shell: دو اہم PHP کے نقائص جنہوں نے حکومتوں کو آن لائن سے نیچے لے آیا
PHP2Shell دو اہم، غیر مصدقہ دور سے کوڈ چلانے والی خرابیوں کا نام ہے جو PHP پروگرامنگ لینگویج میں ہیں — CVE-2026-109618 اور CVE-2026-109619 — جن کا اعلان 20–21 اکتوبر 2026 کو کیا گیا۔ چونکہ PHP دنیا کی بیشتر ویب سائٹس کو چلاتا ہے، ان خرابیوں نے کئی حکومتوں کو احتیاط کے طور پر عوامی سائٹس کو نیچے لانے پر مجبور کیا۔ سرکاری حل PHP کو اپ ڈیٹ کرنا ہے؛ عارضی سرور سائیڈ کمزوریوں کے ازالے موجود ہیں، لیکن کسی بھی انفرادی قاری کے لیے خلاف ورزی کی اطلاعات دیکھنے اور مضبوط، منفرد پاس ورڈز استعمال کرنے کے علاوہ کوئی کام نہیں ہے۔
ٹیکنالوجیموازنہ
iPhone Duo بمقابلہ Samsung Galaxy Z Fold7: Foldable Phones کا موازنہ
Apple کا پہلا foldable، iPhone Duo، 23 اکتوبر 2026 کو $1,999 کی شروعاتی قیمت پر فروخت کے لیے آیا — Samsung کے Galaxy Z Fold7 ($1,999.99) سے ایک سینٹ کم۔ یہ دونوں book-style foldables بنیادی طور پر اسکرین کے سائز، کیمرہ ہارڈویئر، وزن اور چارجنگ کی رفتار میں مختلف ہیں، حالانکہ وہ ایک سال سے زیادہ کے فاصلے پر تقریباً یکساں داخلی قیمتوں پر آتے ہیں۔
ٹیکنالوجیخبر
PHP2Shell: دو شدید PHP کی خرابیاں عالمی سائٹوں کے بند ہونے کا سبب بنتی ہیں
PHP زبان میں دو شدید دوری سے کوڈ عمل میں لانے کی خرابیاں، جو CVE-2026-109618 اور CVE-2026-109619 کی حیثیت سے ٹریک کی گئیں اور "PHP2Shell" کا نام دیا گیا، غیر تصدیق شدہ حملہ آوروں کو کمزور سرورز پر کوڈ چلانے کی اجازت دیتی ہیں۔ PHP نے 21 اکتوبر 2026 کو پیچز جاری کیے، اس کے بعد استحصال کی تفصیلات جلدی سامنے آئیں، اور سیکیورٹی محققین کہتے ہیں کہ حملے اصلاحات کی ترسیل سے پہلے شروع ہو گئے، جس سے بہت سی تنظیموں نے احتیاط کے طور پر سائٹوں کو آف لائن کر دیا۔