پی ایچ پی میں سنگین خامیوں کا انکشاف — این ایس اے کی فوری اپ ڈیٹ یا سائٹس بند کرنے کی ہدایت

پی ایچ پی فاؤنڈیشن نے 21 اکتوبر 2026 کو دو انتہائی سنگین سکیورٹی خامیوں کا انکشاف کیا ہے۔ ان خامیوں کو php2shell کا نام دیا گیا ہے۔ CVE-2026-109618 اور CVE-2026-109619 نمبری خامیوں کو CVSS v4.0 اسکیل پر 9.2/10 کی شدت دی گئی ہے۔ یہ حملہ آور کو بغیر کسی تصدیق کے دور سے ویب سرور پر مکمل کنٹرول حاصل کرنے کی اجازت دیتی ہیں۔ یہ ریموٹ کوڈ ایگزی کیوشن کا خطرہ ہے۔

امریکی نیشنل سکیورٹی ایجنسی (این ایس اے) سائبر نے 21 اکتوبر کو تمام اداروں کو ہدایت جاری کی۔ ہدایت کے مطابق پی ایچ پی استعمال کرنے والی ہر تنظیم فوری طور پر پیچ لگائے۔ “اگر فوری اپ ڈیٹ ممکن نہ ہو تو سسٹم کو مکمل تحفظ تک آف لائن کر دیا جائے”۔ ایف بی آئی اور سی آئی ایس اے نے بھی مشترکہ وارننگ جاری کی ہے۔ یہ اس خطرے کی سنگینی کا اندازہ لگانے کے لیے کافی ہے۔

php2shell سے کون سی ویب سائٹس متاثر ہیں؟

پی ایچ پی دنیا کی تقریباً 70 فیصد ویب سائٹس کو طاقت فراہم کرتی ہے۔ ان میں ورڈپریس بھی شامل ہے، جس پر دنیا کی سب سے زیادہ ویب سائٹس چلتی ہیں۔ وکی پیڈیا کا میڈیا وکی بھی اسی پر ہے۔ پی ایچ پی 5.4 سے 8.5.11 تک کے تمام ورژن متاثر ہیں۔

پیچ 21 اکتوبر کو جاری کیے گئے۔ یہ ورژنز ہیں: پی ایچ پی 8.5.12، 8.4.27، 8.3.36 اور 8.2.35۔ اہم بات یہ ہے کہ پی ایچ پی 8.1 اور اس سے پرانے ورژنز کے لیے کوئی سرکاری پیچ جاری نہیں ہوا۔ ان کے صارفین کو لازمی اپ گریڈ کرنا ہوگا۔

پاکستان کے حوالے سے یہ خبر خاصی اہم ہے۔ ملک کی ہزاروں سرکاری، کاروباری اور نیوز ویب سائٹس ورڈپریس اور پی ایچ پی پر چلتی ہیں۔ سائبر سکیورٹی ماہرین کا کہنا ہے کہ پاکستانی ویب ماسٹرز کو فوری اقدام کرنا چاہیے۔ انہیں اپنے ہوسٹنگ فراہم کنندگان سے رابطہ کر کے پی ایچ پی ورژن اپ ڈیٹ کرنا چاہیے۔ اس طرح php2shell جیسے حملوں سے بچا جا سکتا ہے۔ دی ہل کی تفصیلی رپورٹ میں این ایس اے کی ہدایات بیان کی گئی ہیں۔

خامی کی دریافت میں اے آئی کا کردار

دلچسپ بات یہ ہے کہ یہ خامی اے آئی کی مدد سے دریافت ہوئی۔ اوپن اے آئی کے صدر گریگ بروکمین کے مطابق یہ بگ 14 سال سے کوڈ میں موجود تھا۔ 2024 کے ایک آڈٹ میں اس کا محدود ورژن ملا تھا۔ مگر اس وقت اسے اہم نہیں سمجھا گیا۔ اگست 2026 میں اوپن اے آئی کے ایک اقدام کے تحت محققین نے اس کے شدید ورژن کا سراغ لگایا۔ انہوں نے GPT-5.6 Sol (اور گوگل/وز کے اشتراک) استعمال کیا۔ گٹ ہب پر تفصیل لیک ہونے کے بعد پیچ ایک روز پہلے جاری کرنا پڑا۔

ماہرین اسے سائبر سکیورٹی کے ایک نئے دور کی علامت قرار دے رہے ہیں۔ اب اے آئی پرانی خامیوں کو بھی ڈھونڈ نکالتی ہے۔ پاکستان کے اردو اے آئی ماڈل ‘براق’ کی خبر یہاں پڑھیں۔ ویب سائٹ مالکان کے لیے پیغام واضح ہے۔ اپ ڈیٹ میں تاخیر حملہ آوروں کو کھلی دعوت ہے۔