PHP2Shell: PHP میں شدید نقائص سے عالمی سطح پر فوری اپڈیٹ اور سائٹیں بند

21 اکتوبر 2026 کو، PHP پروجیکٹ نے ایمرجنسی اپڈیٹز جاری کیے—ورژنز 8.5.12، 8.4.27، 8.3.36 اور 8.2.35—دو شدید سیکیورٹی نقائص کو ٹھیک کرنے کے لیے جن کو سیکیورٹی ریسرچرز اور وینڈرز نے 'PHP2Shell' کا نام دیا ہے، Help Net Security اور کینیڈین سینٹر فار سائبر سیکیورٹی کے مطابق۔ یہ نقائص CVE-2026-109618 اور CVE-2026-109619 کے نام سے ٹریک کی جاتی ہیں، دونوں کو شدید شدت کے مسائل بیان کیا جاتا ہے؛ اس مضمون کے لیے جائزہ لیے گئے ذرائع نے کوئی سرکاری عددی CVSS سکور حوالہ نہیں دیا۔

یہ نقص کیا کرتا ہے

دونوں نقائص PHP میں میموری سیفٹی کے مسائل ہیں جو غیر معمولی حالات میں درخواستوں کو کیسے سنبھالتے ہیں، Bleeping Computer اور Help Net Security نے رپورٹ کیا۔ CVE-2026-109618 اس وقت واقع ہوتا ہے جب میموری کی کمی کی خرابی PHP کو روک دیتی ہے جب داخلی درخواست کا ڈیٹا صرف جزوی طور پر سیٹ اپ ہوتا ہے، تو بعد میں صفائی کی روٹینز اس نامکمل ڈیٹا کو درست کے طور پر سلوک کرتی ہیں۔ CVE-2026-109619 ایک پرانی حالت کا نقص ہے: ایک درخواست سے منسلک میموری کو آزاد کیا جا سکتا ہے اور پھر ایک بعد کی درخواست کے ذریعے ایک ہی ورکر پر دوبارہ استعمال کیا جا سکتا ہے اس سے پہلے کہ یہ صحیح طریقے سے ری سیٹ ہو، جو ڈیٹا کو انکشاف یا کوڈ کے اجراء کی اجازت دے سکتا ہے۔

کینیڈا کے سائبر سیکیورٹی سینٹر نے دونوں کو Use-After-Free نقائص (CWE-416) کے طور پر درجہ بندی کی ہے اور کہا کہ ایک کامیاب حملہ ایک غیر مصدقہ حملہ آور کو سرور پر صوابدیدی کوڈ چلانے دے سکتا ہے، بغیر پاس ورڈ یا صارف کی طرف سے کسی عمل کی ضرورت کے۔ ایجنسی نے کہا کہ mod_php تعیناتیں سب سے زیادہ خطرے میں ہیں، کیونکہ ایک مظاہرہ شدہ استحصال اس نقص کو متحرک کر سکتا ہے اس سے پہلے کہ کوئی بھی ایپلیکیشن کوڈ چلنے کا موقع پائے — ایک تفصیل جو PHP سیکیورٹی ٹیم کے ذریعے بھی استعمال کی جاتی ہے، Bleeping Computer کے مطابق۔

یہ بگ ہر PHP انسٹیلیشن کو متاثر کرتا ہے جو ویب درخواستوں کو سیرو کرتا ہے، PHP-FPM، Apache کے mod_php، php-cgi، FrankenPHP اور LiteSpeed سمیت، Bleeping Computer اور کینیڈی مشاورت کے مطابق۔ بنیادی کوڈ PHP میں ایک دہائی سے زیادہ عرصے سے موجود تھا، Fortune نے رپورٹ کیا، اگرچہ سرکاری اصلاحات 8.2–8.5 شاخوں کے لیے جاری کی گئیں، source-level backports 7.4 سے 8.1 تک کے لیے دستیاب کیے گئے، جو اپنے end-of-life سپورٹ کی تاریخ سے آگے نکل چکے ہیں۔

یہ کیسے پایا گیا، اور یہاں AI کیوں اہم ہے

Fortune کے مطابق، خرابی والا کوڈ PHP میں ایک دہائی سے زیادہ عرصے سے موجود تھا، لیکن تین الگ الگ فریقین اگست 2026 میں اس تک پہنچے: سیکیورٹی فرم Wiz، ایک کمپنی جسے Calif کہا جاتا ہے، اور OpenAI، PHP فاؤنڈیشن کے ساتھ ملتے جلتے ایک حل اور منسقی انکشاف پر کام کر رہے ہیں۔ Fortune نے رپورٹ کیا کہ Wiz نے AI ماڈلز استعمال کیے جن میں OpenAI کے GPT-5.6 Sol اور Google کے Gemini 4 Argon شامل ہیں تاکہ کمزوری کو سمجھنے اور اسے کام کرنے والے استحصال میں بدلنے میں مدد ملے۔ Wiz نے Fortune سے کہا کہ یہ معاملہ AI کے ذریعے حرکت میں ایک تبدیلی کی نمائندگی کرتا ہے، یہ کہتے ہوئے کہ اگرچہ خرابی والا کوڈ ایک دہائی سے زیادہ عرصے سے موجود تھا، لیکن جو بدل گیا وہ تھا ریسرچرز کی AI استعمال کر کمزوریوں کو سمجھنے اور ان کو کام کرنے والے استحصال میں بدلنے کی صلاحیت۔

Fortune نے یہ بھی رپورٹ کیا کہ OpenAI نے، اپنے بیان میں، کہا کہ یہ واقعہ دکھاتا ہے کہ کیسے AI انٹرنیٹ کے پیمانے پر اثر و رسوخ والی سیکیورٹی نقائص کو ظاہر کرنے میں مدد دے سکتا ہے، جبکہ یہ بھی تسلیم کیا کہ یہی AI صلاحیتیں حملہ آوروں کو جارحانہ ٹولز اور استحصالات کو تیزی سے تیار کرنے میں مدد دے سکتی ہیں۔

استحصال کی کوششیں اور Cloudflare کا جلدی جواب

Cloudflare نے اپنے بلاگ پر کہا کہ اس نے 21 اکتوبر کو 03:02 UTC پر Web Application Firewall کے اصول کو فعال کیا، جسے اس نے نقائص کے عوامی انکشاف سے تقریباً نو گھنٹے پہلے بیان کیا۔ کمپنی نے مفت معیار کے صارفین کے لیے سات 'Generic Rules – Anomalous Execution' اور ادائیگی کے پلان کے لیے سات برابر اصول کے علاوہ ایک اضافی اصول نکالے جو ایک ہی ٹرانزیکشن میں درخواست اور جواب دونوں کو چیک کرتا ہے، Cloudflare کے پوسٹ کے مطابق جیسا کہ ppc.land کے ذریعے خلاصہ کیا گیا ہے۔ ایک ہی پوسٹ نے کہا کہ Cloudflare نے مشاہدہ کیا کہ حملہ آوروں اپنے استحصال کی پے لوڈز میں بعد میں تبدیلی کر رہے ہیں ظاہر طور پر نئے اصولوں سے بچنے کی کوشش میں، اگرچہ اس نے درست حملے کی حجم کی تفصیل نہیں دی۔

الگ طریقے سے، Amazon کی Threat Intelligence ٹیم نے کہا کہ اس نے عوامی پیچ سے چار دن پہلے 17 اکتوبر 2026 کو شروع ہونے والی نقائص کے خلاف استحصال کی کوششوں کو دیکھا ہے، Bleeping Computer کے مطابق، یہ تجویز کرتے ہوئے کہ کچھ خطرہ اداکاروں کو عام انکشاف سے پہلے استحصال کی تفصیلات تک رسائی تھی۔ اس کے برعکس، کینیڈا کے سائبر سیکیورٹی سینٹر کی مشاورت میں کہا گیا کہ، جب یہ لکھا گیا تھا، اس نے فعال استحصال کی نشاندہی نہیں کی تھی، جبکہ انتباہ کرتے ہوئے کہ صورتحال تیزی سے بدل سکتی ہے۔ دونوں تشخیصات مختلف نقطہ نگاہ اور وقت کی نمائندگی کرتی ہیں نہ کہ حقیقی تنازعہ کی۔

جاپان: حکومت پیچ یا بند کرنے کا مطالبہ کرتی ہے

یہ نقص خاص طور پر جاپان میں شدید توجہ کو کھینچا۔ جاپان کے نیشنل سائبر سیکیورٹی آفس، NISC کے ایک جانشین باڈی جو جولائی 2025 میں دوبارہ منظم کیا گیا تھا، نے ایک مشاورت جاری کی جس میں آپریٹرز سے مطالبہ کیا گیا کہ وہ جانچیں کہ آیا ان کی ویب سائٹیں PHP چلاتی ہیں اور تیزی سے کام کریں، BigGo Finance رپورٹ کے مطابق ایجنسی کے بیان پر۔ وزیر اعظم Sanae Takaichi نے X پر پوسٹ کیا جس میں اسے 'آج رات سب کے لیے جواب دینے کی فوری درخواست' قرار دیا، اور کہا کہ عارضی طور پر کسی ویب سائٹ کو معطل کرنا فوری پیچنگ ممکن نہ ہونے کی صورت میں خطرہ کو کم کرنے کا موثر طریقہ ہو سکتا ہے، BigGo Finance نے رپورٹ کیا۔

اس رہنمائی پر عمل کرتے ہوئے، کئی جاپانی آن لائن سروسز 21 اکتوبر کی رات کو ایمرجنسی میں چلے گئے، جن میں childcare management platform CoDMON، کارڈ گیم Shadowverse: Worlds Beyond، آن لائن سٹور بلڈر BASE، اور ہوسٹنگ فراہم کنندہ Sakura Internet شامل ہیں، BigGo Finance رپورٹ کے مطابق۔ PHP کی سرکاری پیچز جاپان کے وقت تقریباً 10:40 شام کو جاری کی گئیں، ابتدائی طور پر گھوषنا کی گئی 11 شام کی ہدف سے پہلے، اسی رپورٹ میں کہا گیا۔

الگ طریقے سے، Internet Watch (Impress) نے رپورٹ کیا کہ جاپانی مواصلات فراہم کنندہ Baltec نے تقریباً 23 سروسز کو معطل کر دیا—cloud، reservation، point-of-sale اور expense-management ٹولز کو کور کرتے ہوئے—ایک غیر مصدقہ رسائی کی نشاندہی کے بعد ذاتی ڈیٹا کی ممکنہ نمائش کے ساتھ۔ Baltec نے ابتدائی طور پر اس واقعے کو ایک PHP میں نقائص کو مستقبل کرنے والے سائبر حملے سے منسوب کیا، لیکن کمپنی نے اسی دن ایک اصلاح جاری کی جس میں کہا گیا کہ اصل سبب PHP کی خرابی نہیں بلکہ اپنی سروس میں نقص تھا، اس نے کہا کہ PHP سے متعلقہ سیکیورٹی اقدامات کا جائزہ لیتے ہوئے اس نے دونوں مسائل کو خلط ملط کر دیا۔ Baltec نے سروس کی بحالی کے لیے 26 اکتوبر کو ہدف بنایا، Internet Watch نے رپورٹ کیا۔

نمائش کا پیمانہ

PHP دنیا بھر میں تقریباً 70% ویب سائٹس کو طاقت دیتا ہے، WordPress سائٹس، Wikipedia، Microsoft.com اور Archive.org سمیت، Fortune نے رپورٹ کیا، یہ حوالہ دیتے ہوئے کہ تقریباً 40% تمام ویب سائٹس WordPress پر چلتی ہیں، جو خود PHP پر منحصر ہے۔ Fortune نے یہ بھی حوالہ دیا کہ ایک ابتدائی اسکین نے انٹرنیٹ پر نمائش والی 22.6 ملین ممکنہ طور پر خطرناک PHP انسٹیسز کی نشاندہی کی۔

اب بھی کیا نامعلوم ہے

دستیاب رپورٹنگ کے مطابق، کوئی بھی ذریعہ PHP2Shell کے استحصال کے براہ راست سبب سے کسی کامیاب بڑے پیمانے پر خلاف ورزی کی تصدیق نہیں کرتا، احتیاطی بند کرنے کے بجائے۔ کل استحصال کی کوششوں پر تعداد ذریعے اور پیمائش کے ڈھانچے سے مختلف ہوتی ہے: Cloudflare کے CEO کو جاپانی کوریج میں Yahoo! News کے ذریعے حوالہ دیا گیا، جیسا کہ انکشاف سے پہلے ہزاروں سے شروع ہونے والی کوش کوششیں 45 منٹ کے اندر دسیوں ہزار تک اور دو گھنٹے کے اندر سینکڑوں ہزار تک پہنچتی ہے، کل اس رپورٹ کے وقت لاکھوں تک پہنچتی ہے بیان کیا جاتا ہے؛ Cloudflare کے اپنے بلاگ پوسٹ نے یہ مخصوص اعداد و شمار دوبارہ نہیں کیے۔ قارئین کو درست حملے کی حجم کی تعداد کو ابتدائی اور انہیں ٹریک کرنے والی تنظیموں کی طرف سے نظرثانی کے تابع سلوک کرنا چاہیے۔