یہ زبان مشین کے ذریعے ترجمہ کی گئی ہے اور کسی انسان نے اس کا جائزہ نہیں لیا۔

NIVΞCTOR
خبریںتعاون

کاؤنٹر ابھی شروع نہیں ہوا

ٹیکنالوجی · خبر

PHP2Shell: دو شدید PHP کی خرابیاں عالمی سائٹوں کے بند ہونے کا سبب بنتی ہیں

اشاعت:

مختصراً

PHP زبان میں دو شدید دوری سے کوڈ عمل میں لانے کی خرابیاں، جو CVE-2026-109618 اور CVE-2026-109619 کی حیثیت سے ٹریک کی گئیں اور "PHP2Shell" کا نام دیا گیا، غیر تصدیق شدہ حملہ آوروں کو کمزور سرورز پر کوڈ چلانے کی اجازت دیتی ہیں۔ PHP نے 21 اکتوبر 2026 کو پیچز جاری کیے، اس کے بعد استحصال کی تفصیلات جلدی سامنے آئیں، اور سیکیورٹی محققین کہتے ہیں کہ حملے اصلاحات کی ترسیل سے پہلے شروع ہو گئے، جس سے بہت سی تنظیموں نے احتیاط کے طور پر سائٹوں کو آف لائن کر دیا۔

یہ نسخہ اصل متن (English) کا مشینی ترجمہ ہے۔ اصل متن پڑھیں

PHP، وہ اسکرپٹنگ زبان جو ویب کے سرور کی جانب کا ایک بڑا حصہ چلاتی ہے، اکتوبر 2026 میں دو شدید سیکیورٹی خرابیوں سے متاثر ہوئی۔ مجموعی طور پر "PHP2Shell" کا نام دیا گیا اور CVE-2026-109618 اور CVE-2026-109619 کی حیثیت سے ٹریک کیے گئے، یہ خرابیاں کسی بھی کھاتے یا پاس ورڈ کے بغیر ایک حملہ آور کو متاثرہ ویب سرور پر من مانی کوڈ چلانے کی اجازت دیتی ہیں۔

خرابیاں کیا کرتی ہیں

سیکیورٹی فرم watchTowr کے مطابق، CVE-2026-109618 اس وقت ہوتی ہے جب PHP درمیانے میں میموری سے باہر ہو جاتا ہے آنے والی درخواست کی ترتیب دیتے ہوئے، جو اندرونی درخواست کی ڈیٹا صرف جزوی طور پر شروع کردیتی ہے؛ PHP کی صفائی کی روٹین پھر غلطی سے اس غلط ڈیٹا کو درست سمجھتی ہے۔ CVE-2026-109619 اندرونی حالت سے متعلق ہے جو ایک درخواست کے بعد اس میموری میں رہتی ہے جس کی طرف اشارہ کیا جا رہا ہے پہلے سے ہی خالی کی جا چکی ہے، تو بعد میں اسی ورکر پروسیس کے ذریعے سنبھالی جانے والی درخواست عام تشکیل اسے دوبارہ سیٹ کرنے سے پہلے اس پرانے حالت کو استعمال کر سکتی ہے۔

محقق فرم Wiz نے، جس نے خرابیوں کا جائزہ لیا، Help Net Security سے کہا کہ یہ مسائل برسوں سے نظرانداز رہے ہیں اور زبان میں کبھی پائی جانے والی سب سے شدید خرابیوں میں شمار ہوتے ہیں۔ مکمل دوری سے کوڈ عمل میں لانے کے علاوہ، watchTowr نے کہا کہ خرابیاں PHP ورکر پروسیسز کو کریش کر سکتی ہیں، من مانی فائل پڑھنے کی اجازت دے سکتی ہیں، یا سرور میموری کو لیک کر سکتی ہیں۔

اسے کس نے اور کب تلاش کیا

یہ دو خرابیاں علیحدہ تحقیقی کوششوں کے ذریعے رپورٹ کی گئیں۔ WatchTowr کے مشورے میں Calif کی سیکیورٹی تحقیق کی ٹیم کو دریافت کا سہرا دیا جاتا ہے، جبکہ Help Net Security کی کوریج Wiz میں محققین کو شناخت اور افشاء کی وجہ سے ہے۔ افشاء کی ٹائم لائن غیر معمولی تھی: تفصیلات جو خفیہ رہنے کی تھیں 20 اکتوبر 2026 کو عوامی طور پر لیک ہو گئیں، اور watchTowr نے لیک شدہ معلومات کی تصدیق کی۔ PHP کے منتظمین نے 21 اکتوبر 2026 کو 14:00 UTC پر اصل 22 اکتوبر کی تاریخ سے ایک دن پہلے پیچز جاری کر کے جواب دیا۔

دائرہ: کون سا PHP چلاتا ہے

PHP ویب پر سب سے زیادہ استعمال ہونے والی سرور کی جانب کی زبانوں میں سے ایک رہتا ہے، اور خرابیاں کسی بھی سیٹ اپ کو متاثر کر سکتی ہیں جو اس کے ذریعے آنے والی HTTP درخواستوں کو چلاتا ہے۔ متاثرہ سیٹ اپ میں PHP-FPM، Apache mod_php کے ساتھ، php-cgi، FrankenPHP اور LiteSpeed شامل ہیں، watchTowr کے مطابق، جس کا مطلب ہے کہ خرابی سرور کی تہہ میں بیٹھی ہے نہ کہ کسی ایک ایپلیکیشن میں۔

PHP ورژن متاثرہ اور ٹھیک کیے گئے
PHP شاخحساس ورژنٹھیک شدہ ورژن
8.5.x8.5.12 سے نیچے8.5.12
8.4.x8.4.27 سے نیچے8.4.27
8.3.x8.3.36 سے نیچے8.3.36
8.2.x8.2.35 سے نیچے8.2.35
7.4، 8.0، 8.1تمام ورژنکوئی سرکاری PHP کور پیچ نہیں؛ تقسیم/LTS فروخت کرنے والوں کی بیک پورٹس یا سپورٹ شدہ شاخ میں منتقل ہوں
7.3 اور پراناتمام ورژنکوئی مرمت دستیاب نہیں؛ سپورٹ شدہ شاخ میں اپ گریڈ کرنا ضروری ہے

کیونکہ PHP 7.4، 8.0 اور 8.1 اب سرکاری طور پر سپورٹ نہیں ہیں، watchTowr کہتے ہیں کہ اب بھی ان شاخوں کو چلانے والی سائٹوں کے لیے PHP کور پروجیکٹ سے کوئی پیچ نہیں ہے، اگرچہ Linux تقسیم یا طویل مدتی سپورٹ فروخت کرنے والے کی بیک پورٹس ایک عارضی آپشن کے طور پر دستیاب ہو سکتے ہیں؛ بصورت دیگر وہ تنصیبات کو سپورٹ شدہ شاخ میں منتقل کرنے کی ضرورت ہے۔ PHP 7.3 اور پرانے کے لیے watchTowr کے مطابق کوئی مرمت نہیں ہے۔ PHP کے مشورے میں کہا گیا ہے کہ کوئی بھی ترتیب کی تبدیلی مکمل طور پر خرابیوں کو بند نہیں کرتی سوائے سافٹ ویئر کو اپ ڈیٹ کرنے کے۔

اثرات اور استحصال

Help Net Security نے رپورٹ کیا کہ Amazon کے ذریعے چلایا جانے والا ایک honeypot نیٹ ورک 17 اکتوبر 2026 کو استحصال کی کوششوں کو دیکھا ہے — عوامی پیچ سے چار دن پہلے — یہ تجویز کرتا ہے کہ کچھ حملہ آوروں کو استحصال کی تفصیلات تک جلدی رسائی تھی۔ WatchTowr نے کہا کہ اس کے اپنے "Attacker Eye" honeypot نیٹ ورک نے 21 اکتوبر کے پیچ ریلیز کے بعد بھی جنگل میں فعال استحصال کو دیکھا۔ PHP پر تعمیر شدہ کنٹینٹ مینجمنٹ سسٹم، جس میں WordPress، Drupal اور Joomla شامل ہیں، اور Laravel پر مبنی ایپلیکیشنز اور ای کامرس پلیٹ فارمز، سب متاثرہ فوٹ پرنٹ کے اندر ہیں کیونکہ وہ کمزور PHP انجن کے اوپر چلتے ہیں۔

جیسے ہی تھام تھام شروع ہوئی، حکومتی ایجنسیاں، آن لائن فورمز، گیمنگ پلیٹ فارمز اور کچھ بنیادی ڈھانچے سے جڑی سائٹوں کو احتیاط کے طور پر آف لائن کر دیا گیا جبکہ آپریٹرز اصلاحات کو لاگو کرتے تھے، PHP2Shell کے Wikipedia اندراج میں خلاصہ کی گئی کوریج کے مطابق۔ UK کے National Cyber Security Centre نے تنظیموں سے کہا جو فوری طور پر تھام تھام نہیں کر سکتے تھے کہ بجائے اس کے کمزور سسٹم کو آف لائن کر دیں، Help Net Security نے رپورٹ کیا۔

یہ نتائج PHP میں سب سے شدید خرابیوں میں شمار ہیں، اور بحث کے قابل حد تک سافٹ ویئر کی تاریخ میں۔

— Wiz محققین، Help Net Security کے حوالے سے

شدت کی درجہ بندی اور سائٹ آپریٹرز کو کیا کرنا چاہیے

PHP کے اپنے ڈویلپرز نے دونوں خرابیوں کو CVSS v4.0 پیمانے پر 9.2 درجہ دیا، watchTowr کے مشورے کے مطابق ایک "شدید" اسکور۔ واضح تدارک کا راستہ، PHP کے مشورے اور watchTowr دونوں کے مطابق، PHP 8.5.12، 8.4.27، 8.3.36 یا 8.2.35 میں اپ ڈیٹ کرنا ہے جس پر منحصر ہے کہ سرور کون سی شاخ چلاتا ہے؛ 7.4، 8.0 یا 8.1 پر سائٹس کو تقسیم کی بیک پورٹ استعمال کرنی چاہیے یا سپورٹ شدہ شاخ میں منتقل ہونا چاہیے، جبکہ 7.3 یا پرانے سرورز کے لیے کوئی مرمت دستیاب نہیں ہے اور اپ گریڈ کرنے کی ضرورت ہے۔

سوالات

PHP2Shell کیا ہے؟
PHP2Shell دو شدید PHP خرابیوں، CVE-2026-109618 اور CVE-2026-109619 کا نام ہے، جو ایک حملہ آور کو بغیر لاگ ان کے ایک PHP چلانے والے ویب سرور پر کوڈ عمل میں لانے دیتے ہیں۔
کون سے PHP ورژن متاثرہ ہیں؟
8.2.35، 8.3.36، 8.4.27 اور 8.5.12 سے پہلے کے ورژن حساس ہیں اور سرکاری اصلاحات ہیں۔ PHP 7.4، 8.0 اور 8.1 بھی متاثرہ ہیں؛ چونکہ وہ شاخیں سپورٹ نہیں ہیں، اس لیے کوئی سرکاری PHP کور پیچ نہیں ہے، اگرچہ watchTowr کے مطابق تقسیم یا LTS فروخت کرنے والے کی بیک پورٹس دستیاب ہو سکتے ہیں۔ PHP 7.3 اور پرانے کے لیے کوئی مرمت دستیاب نہیں ہے۔
کیا PHP2Shell فی الوقت استعمال میں آ رہی ہے؟
ہاں۔ Help Net Security نے 17 اکتوبر 2026 کو Amazon honeypot کے ذریعے استحصال کی کوششوں کی اطلاع دی، اور watchTowr نے کہا کہ اس کے honeypot نیٹ ورک نے 21 اکتوبر کے پیچ کے بعد بھی جنگل میں فعال استحصال کو دیکھا۔
کتنی سائٹوں متاثرہ ہو سکتی ہیں؟
PHP ویب پر سب سے زیادہ استعمال ہونے والی سرور کی جانب کی زبانوں میں سے ایک رہتا ہے، جس میں WordPress، Drupal اور Joomla پر تعمیر شدہ سائٹس بھی شامل ہیں، تو دونوں خرابیوں میں وسیع ممکنہ رسائی ہے، watchTowr اور PHP2Shell Wikipedia اندراج میں خلاصہ کے مطابق۔
ایک ویب سائٹ آپریٹر اسے کیسے ٹھیک کر سکتا ہے؟
PHP کے مشورے اور watchTowr دونوں کہتے ہیں کہ واحد مکمل مرمت ایک تھام شدہ ریلیز میں اپ ڈیٹ کرنا ہے — 8.5.12، 8.4.27، 8.3.36 یا 8.2.35 جس پر منحصر ہے شاخ — کیونکہ کوئی بھی ترتیب کی تبدیلی مکمل طور پر خرابیوں کو بند نہیں کرتی۔ سپورٹ نہ شدہ شاخوں (7.4، 8.0، 8.1، یا 7.3 اور پرانا) پر سائٹس کو فروخت کرنے والے کی بیک پورٹ استعمال کرنے کی ضرورت ہے جہاں دستیاب ہے یا سپورٹ شدہ شاخ میں اپ گریڈ کرنے کی ضرورت ہے۔

ذرائع

  1. Wikipedia — PHP2Shell
  2. watchTowr — PHP2Shell RCE Exploited: CVE-2026-109618 & CVE-2026-109619
  3. Help Net Security — PHP2Shell: Critical PHP vulnerabilities patched, update now!
  4. Wikipedia — PHP

یہ تحریر مصنوعی ذہانت سے تیار کی گئی اور اشاعت سے پہلے ذرائع کی خودکار جانچ سے گزری۔ اگر آپ کو کوئی غلطی نظر آئے تو تصحیح کی درخواست کریں۔ تصحیح یا جواب کی درخواست · ہم کیسے کام کرتے ہیں

متعلقہ تحریریں