PHP2Shell: دو اہم PHP کے نقائص جنہوں نے حکومتوں کو آن لائن سے نیچے لے آیا

PHP2Shell PHP پروگرامنگ لینگویج میں خرابیوں کا نام ہے، کسی بھی ایک ویب سائٹ یا ایپ میں نہیں۔ انہیں CVE-2026-109618 اور CVE-2026-109619 کے طور پر ٹریک کیا جاتا ہے، اور PHP کی اپنی سیکیورٹی ٹیم نے دونوں کو CVSS v4.0 پیمانے پر 9.2 درجہ بندی کی ہے، جو اس کا 'اہم' سطح ہے، PHP پروجیکٹ کے سرکاری 2026 آرکائیو صفحے کے مطابق۔

دونوں خرابیں اصل میں کیا کرتی ہیں

PHP پروجیکٹ کے اپنے مشاورت کے مطابق، CVE-2026-109618 تب متحرک ہوتا ہے جب PHP کسی ویب درخواست کو سنبھالتے ہوئے میموری سے باہر چلا جاتا ہے۔ میموری سے باہر کی خرابی PHP کو روک سکتی ہے اس سے پہلے کہ داخلی درخواست کے ڈیٹا مکمل طور پر سیٹ اپ ہوں، اور صفائی کے عمل کے بعد اس نامکمل ڈیٹا کو درست سمجھا جا سکتا ہے، جس سے میموری کی خرابی اور دور سے کوڈ چلانا ہو سکتا ہے۔

CVE-2026-109619 کو PHP 'سڑا ہوا عالمی ریاست' خرابی کے طور پر بیان کرتا ہے: ایک وزیٹر کی درخواست سے منسلک ڈیٹا سرور کی میموری میں رہ سکتا ہے اس کے بعد اسے صاف کیا جانا چاہیے، اور اگلی وزیٹر کی درخواست جو ایک ہی ورکر عمل کے ذریعے سنبھالی جاتی ہے ان بقایا پر عمل کر سکتی ہے۔ سیکیورٹی فرم watchTowr، جو نگرانی کے نظاموں کا ایک عالمی نیٹ ورک چلاتا ہے، کہا کہ دونوں خرابیں حملہ آور کو کوئی لاگ ان درکار کیے بغیر کوڈ چلانے کی اجازت دیتی ہیں، ویب سائٹ کے اپنے کوڈ کے پہلے بھی۔

ڈچ سیکیورٹی فرم Sansec نے مزید تکنیکی تفصیل شامل کی، کہا کہ استحصال کے راستوں میں سے ایک PHP کے سیشن 'اپ لوڈ ترقی' کی خصوصیت کے ذریعے چلتا ہے اور ڈیٹا جیسے پاس ورڈز، API کیز اور انکرپشن کیز کو ظاہر کر سکتا ہے جو سرور کی میموری میں بیٹھے تھے دوسری، بے تعلق درخواستوں سے۔

بہت سی ویب سائٹس کیوں بے نقاب تھیں

خرابیں PHP انجن کے اندر بیٹھی ہیں، اس لیے PHP کے ساتھ بنائی گئی کوئی بھی ویب سائٹ یا ایپ ممکنہ طور پر بے نقاب ہے، قطع نظر اس سے کہ کون سا مواد کا نظام اس پر چلتا ہے۔ یہ وسیع پیمانے پر استعمال ہونے والے نظام جیسے WordPress، Drupal، Joomla، Magento اور Nextcloud کو شامل کرتا ہے، Sansec کے مطابق۔ PHP ویب پر سب سے زیادہ استعمال ہونے والی سرور سائیڈ پروگرامنگ لینگویجز میں سے ایک رہتا ہے، جو خرابیوں کو بڑے پیمانے پر خطرے کے طور پر دیکھے جانے کی ایک وجہ ہے۔

Wiz کے سیکیورٹی محققین نے خرابیوں کی نشاندہی کی، اور Help Net Security نے رپورٹ کیا کہ محققین کا کہنا ہے کہ سرحد کے AI ٹولز میں ترقی نے ایک طویل عرصے سے معلوم، مشکل سے استحصال کی جانے والی میموری سنبھالنے کے مسئلے کو کام کرنے والے استحصال میں بدلنے کی تکنیکی رکاوٹ میں نمایاں کمی آئی ہے۔

حکومتوں نے سائٹس کو کیوں نیچے لیا

خرابیوں کی تکنیکی تفصیلات PHP کے سرکاری پیچ سے پہلے لیک ہوگئیں، دفاع کاروں کو عام طور پر پیچ عوامی ہونے سے پہلے ملنے والے سر کی شروعات میں کمی آگئی۔ سیکیورٹی بلاگ Safeguard نے رپورٹ کیا کہ 21 اکتوبر 2026 کو، نیدرلینڈز نے Overheid.nl سمیت خدمات بند کیں، اس کے نیشنل سائبر سیکیورٹی سینٹر کی اپنی سائٹ، ہاؤس آف نمائندگان کی ویب سائٹ اور احتیاط کے طور پر کئی ہسپتال اور سیاسی پارٹی کی سائٹس۔ فن لینڈ کے حکومتی IT فراہم کنندہ Valtori نے احتیاط کے طور پر حکومتی نیٹ ورک کی خدمات کو نیچے لیا، اور ڈنمارک کی میونسپل IT کمپنی Kombit نے کئی خدمات بند کر دیں جس میں نیشنل اسکول کمیونیکیشن پلیٹ فارم بھی شامل ہے۔ فرانس کے انٹیریئر وزارت نے عارضی طور پر prefecture اور مقامی انتظامی سائٹس کو بند کیا، کہا کہ یہ PHP کی اصلاح لاگو کیے جانے کا انتظار کر رہا ہے۔ جرمنی کے وفاقی IT فراہم کنندہ ITZBund اور بیلجیم کے وزارت خارجہ نے بھی سائٹس کو نیچے لیا، اگرچہ Safeguard نے رپورٹ کیا کہ انہوں نے مختلف وجوہات دیں: ITZBund کہا کہ انہیں کوئی سیکیورٹی واقعات معلوم نہیں ہیں، جبکہ بیلجیم کے وزارت خارجہ نے حملوں کی رپورٹ حوالہ دی۔

watchTowr نے کہا کہ اس کا honeypot نیٹ ورک، Attacker Eye، نے 21 اکتوبر 2026 سے شروع کرتے ہوئے حقیقی دنیا کے استحصال کی کوششوں کو ریکارڈ کیا، لیک کے ایک دن بعد اور وہی دن PHP نے اپنی اصلاح شائع کی۔

دونوں خرابیں موازنہ

اپنی سائٹ اور اپنے ڈیٹا کی حفاظت کیسے کریں

1. اگر آپ PHP پر ایک ویب سائٹ چلاتے ہیں: ایک درست ورژن میں اپ ڈیٹ کریں — PHP 8.5.12، 8.4.27، 8.3.36 یا 8.2.35 — اور اس کے بعد تمام PHP ورکر عمل دوبارہ شروع کریں، جیسا کہ PHP کی مشاورت اور runZero دونوں پر زور دیتے ہیں کہ اپ ڈیٹ کرنا واحد مکمل حل ہے۔
2. اگر آپ ابھی بھی PHP 7.4، 8.0 یا 8.1 پر ہیں، جنہیں مزید سرکاری اپ ڈیٹس نہیں ملتے، اپنے Linux ڈسٹری بیوشن یا ہوسٹنگ فراہم کنندہ سے ایک backported سیکیورٹی اصلاح حاصل کریں، چونکہ PHP کے اپنے پروجیکٹ نے ان شاخوں کو برقرار رکھنا بند کر دیا ہے، PHP آرکائیو صفحے کے مطابق۔
3. جب تک آپ اصلاح نہیں لگا سکتے، runZero عارضی اقدامات کی سفارش کرتا ہے سرور یا پروکسی سطح پر: میموری کی حدود کو سیٹ کریں تاکہ ایپلیکیشنز انہیں override نہ کر سکیں، کم درخواست کے سائز اور multipart اپ لوڈ حدود کو نافذ کریں، اور سیشن 'اپ لوڈ ترقی' کی خصوصیت کو غیر فعال کریں۔
4. اپنے ویب سرور رسائی لاگز میں غیر معمولی multipart/form-data POST درخواستوں کے لیے چیک کریں، جو Sansec کہتے ہیں معروف استحصال کی کوششوں میں عام ہیں، اور غیر متوقع PHP میموری میں اضافے یا مہلک خرابیوں کے لیے دیکھیں۔
5. روزمرہ کے انٹرنیٹ صارف کے طور پر، آپ سرورز میں اصلاح نہیں لگا سکتے جن کی آپ کنٹرول نہیں کرتے، لیکن آپ ان خدمات سے خلاف ورزی کی اطلاعات دیکھ سکتے ہیں جو آپ استعمال کرتے ہیں، ہر اکاؤنٹ کے لیے ایک منفرد پاس ورڈ استعمال کر سکتے ہیں، اور دو عنصری توثیق کو چالو کر سکتے ہیں تاکہ اکیلے لیک شدہ پاس ورڈ آپ کے اکاؤنٹس تک رسائی کے لیے کافی نہ ہو۔

ابھی بھی کیا واضح نہیں ہے

اب تک کی رپورٹنگ کے مطابق، ماہرین کے درمیان یہ اختلاف تھا کہ حکومتوں نے سائٹس کو نیچے لانے کا فیصلہ کرنے کے وقت پہلے سے فعال استحصال کتنا وسیع تھا؛ Safeguard نے رپورٹ کیا کہ ڈچ حکومت نے کہا کہ جب اس نے کام کیا تو اسے فعال استحصال کی کوئی علامات نہیں تھیں، جبکہ watchTowr نے الگ سے اگلے دن اپنے honeypots کے خلاف حقیقی حملوں کی تصدیق کی۔