N環球 N GLOBE
عالمی ٹیکنالوجی

"PHP2Shell": PHP دو اہم CVSS-9.2 خامیوں کے لیے ہنگامی پیچ بھیجتا ہے جو غیر تصدیق شدہ ریموٹ کوڈ پر عمل درآمد کو قابل بناتا ہے۔

· N GLOBE

PHP نے 21 اکتوبر کو ہنگامی اپ ڈیٹس جاری کیں جس میں PHP2Shell (CVE-2026-109618، CVE-2026-109619) کے نام سے دو اہم خامیوں کو دور کیا گیا، جنہیں Wiz، Calif اور OpenAI کے محققین نے پایا۔ مربوط انکشاف سے پہلے تفصیلات لیک ہو گئیں، اور Cloudflare نے پیچ بھیجنے سے پہلے حقیقی حملوں کا مشاہدہ کیا۔ ویب درخواستوں کی خدمت کرنے والی ہر پی ایچ پی کی تنصیب متاثر ہوتی ہے۔

یہ کیوں اہمیت رکھتا ہے۔

یہ سالوں میں ویب کے سب سے شدید خطرات میں سے ایک ہے۔ پی ایچ پی دنیا کی ویب سائٹس (ورڈپریس، ڈروپل، جملہ) کے ایک بڑے حصے کو طاقت دیتا ہے، اور اس بار خامی خود لینگویج انجن میں بیٹھتی ہے - یہاں تک کہ ایک مکمل تحریری سائٹ بھی تحفظ فراہم نہیں کرتی ہے۔ حملہ آور کو حساب کی ضرورت نہیں ہے۔ ایک درخواست سرور پر کوڈ پر عمل درآمد کر سکتی ہے۔

یہ حفاظتی تحقیق میں AI کے دوہرے کردار کی اب تک کی سب سے تیز ترین مثال بھی ہے: Wiz کا کہنا ہے کہ خامیاں کئی دہائیوں سے موجود تھیں، اور استحصال کا مظاہرہ کرنے کے لیے 'اس کے کنارے پر ایک سلسلہ درکار تھا جو انسانی محققین عملی طور پر حاصل کر سکتے تھے۔' فرنٹیئر AI ماڈلز نے اس رکاوٹ کو کافی حد تک کم کر دیا، ایک دیرینہ خامی کو کام کرنے والے استحصال میں بدل دیا۔

مکمل رپورٹ

PHP کی سیکیورٹی ٹیم نے 21 اکتوبر کو CVE-2026-109618 اور CVE-2026-109619 کو درست کرنے کے لیے ہنگامی اپ ڈیٹس جاری کیں، دونوں کو CVSS v4.0 9.2 کا درجہ دیا گیا اور مجموعی طور پر PHP2Shell کا نام دیا گیا۔ جب کوئی درخواست غیر معمولی طور پر ختم ہو جاتی ہے تو دونوں خراب میموری کی حالت سے پیدا ہوتے ہیں، اور دونوں کو غیر مستند حملہ آوروں کے ذریعے ریموٹ کوڈ پر عمل درآمد حاصل کرنے کے لیے استعمال کیا جا سکتا ہے۔

ویب درخواستوں کو پیش کرنے والی ہر پی ایچ پی کی تنصیب متاثر ہوتی ہے، بشمول PHP-FPM، Apache mod_php، php-cgi، FrankenPHP اور LiteSpeed۔ ٹیم کا کہنا ہے کہ mod_php کے لیے خطرہ سب سے زیادہ ہے، جہاں کسی بھی ایپلیکیشن کوڈ کے چلنے سے پہلے ایک مظاہرے کا استحصال شروع ہو جاتا ہے۔ یہاں تک کہ ایک خامی حملہ آور کو ورکر میموری کو پڑھنے دے سکتی ہے جس میں دیگر درخواستوں کے پاس ورڈز، ٹوکنز اور API کیز ہیں۔

یہ خامیاں Wiz، Calif، OpenAI (اس کے Patch the Planet پروگرام میں شراکت دار) اور Quarkslab کے محققین نے پائی ہیں۔ 20 اکتوبر کو منصوبہ بند مربوط انکشاف سے پہلے تکنیکی تفصیلات لیک ہو گئیں، جس سے PHP کو ایک دن پہلے ریلیز کرنے کا اشارہ ہوا۔ Cloudflare نے کہا کہ اس نے 21 اکتوبر کو WAF کے قواعد کو پیچ بھیجنے اور فعال کرنے سے پہلے اپنے صارفین کے خلاف حملے کا مشاہدہ کیا۔ متعدد ڈچ اور جاپانی سائٹس (بشمول ڈچ DigiD سروس اور ایوان نمائندگان کی ویب سائٹ) احتیاط کے طور پر آف لائن ہو گئیں۔

منتظمین سے اپیل کی جاتی ہے کہ وہ فوری طور پر PHP 8.5.12, 8.4.27, 8.3.36 یا 8.2.35 پر اپ ڈیٹ کریں۔ پی ایچ پی 7 اور اس سے پہلے کے اب سرکاری اپ ڈیٹس حاصل نہیں کرتے۔

💬 Comments

No comments yet. Be the first!