شدت کے 9.2 اسکور رکھنے والی PHP سیکیورٹی خامیوں کے بعد بلاک چین سیکیورٹی فرم SlowMist نے کرپٹو کرنسی ایکسچینجز، غیر مرکزی مالیاتی پلیٹ فارمز اور والیٹ فراہم کنندگان پر زور دیا ہے کہ وہ اپنے انفراسٹرکچر کی جانچ کریں اور ہنگامی اپ ڈیٹس انسٹال کریں۔ PHP ڈویلپرز نے 21 اکتوبر 2026 کو دو کمزوریوں کے لیے پیچ جاری کیے، جن کے ذریعے غیر مصدقہ حملہ آور متاثرہ سرورز پر دور سے کوڈ چلا سکتے تھے۔
اہم نکات
- PHP نے دو کمزوریوں کے تدارک کے لیے چار پیچ شدہ ورژنز جاری کیے؛ CVSS ورژن 4.0 کے تحت ہر کمزوری کی درجہ بندی 9.2 تھی۔
- SlowMist نے کرپٹو کاروباروں پر زور دیا کہ وہ ویب سائٹس، انٹرفیسز اور معاون انفراسٹرکچر میں PHP کی موجودگی کی جانچ کریں۔
- مظاہرہ کیے گئے حملوں سے یہ ثابت نہیں ہوتا کہ بڑے کرپٹو ایکسچینجز یا DeFi پروٹوکولز بڑے پیمانے پر متاثر ہوئے یا انہیں نقصان ہوا۔
فہرستِ مضامین
- PHP کی سیکیورٹی خامیوں نے غیر محفوظ سرورز پر توجہ مرکوز کر دی
- ہنگامی اپ ڈیٹس میں PHP کی چار ریلیزز شامل ہیں
- بین الاقوامی تنبیہات میں ممکنہ خطرے اور تصدیق شدہ نقصانات میں فرق واضح کیا گیا
- نتیجہ
PHP کی سیکیورٹی خامیوں نے غیر محفوظ سرورز پر توجہ مرکوز کر دی
کرپٹو کاروباروں کے لیے فوری تشویش کا باعث ان کا روایتی ویب انفراسٹرکچر ہے۔ پلیٹ فارم کی ترتیب کے لحاظ سے، PHP کے متاثرہ بیک اینڈ سے صارفین کی معلومات، انتظامی انٹرفیسز، توثیقی نظام یا آپریشنل اسناد افشا ہو سکتی ہیں۔
SlowMist نے ایکسچینجز، DeFi منصوبوں اور والیٹ فراہم کنندگان پر زور دیا کہ وہ متاثرہ تنصیبات کی نشاندہی کریں اور سرکاری پیچ لاگو کریں۔ اطلاعات کے مطابق، کمزوریوں کے انکشاف کے بعد کمپنی نے اپنے MistEye مانیٹرنگ سسٹم کے ذریعے کرپٹو انفراسٹرکچر میں PHP سے متعلق ممکنہ خطرے کا جائزہ لیا۔
اس خطرے کا یہ مطلب نہیں کہ PHP سرور متاثر ہونے سے حملہ آور کو خودکار طور پر نجی کلیدوں، اسمارٹ کنٹریکٹس یا صارفین کے اثاثوں تک رسائی مل جاتی ہے۔ نتائج کا انحصار حساس نظاموں سے روابط اور حملہ آور کو حاصل ہونے والے اختیارات پر ہوتا ہے۔
ہنگامی اپ ڈیٹس میں PHP کی چار ریلیزز شامل ہیں
دو کمزوریوں، CVE-2026-109618 اور CVE-2026-109619، میں سے ہر ایک کو کامن ولنریبلٹی اسکورنگ سسٹم ورژن 4.0 کے تحت 9.2 کی شدت کی درجہ بندی دی گئی۔ PHP ڈویلپرز نے ورژنز 8.5.12، 8.4.27، 8.3.36 اور 8.2.35 میں ان کا تدارک کیا۔ غیر معاون ریلیزز سمیت پرانے ورژنز بھی متاثر ہو سکتے ہیں اور انہیں برقرار رکھے جانے والے سافٹ ویئر پر منتقل کرنا ضروری ہے۔
CVE-2026-109618 کا تعلق درخواست کی صفائی کے دوران میموری ختم ہونے کی صورتِ حال سے وابستہ میموری کی خرابی سے ہے۔ CVE-2026-109619 میں عالمی حالت (global state) کی جانب سے پچھلی درخواستوں کی میموری کے حوالے برقرار رکھنے کا مسئلہ ہے، جس سے وہ میموری دوبارہ استعمال ہونے پر حملہ ممکن ہو سکتا ہے۔ غیر محفوظ ترتیب میں دونوں خامیاں دور سے کوڈ چلانے کی اجازت دے سکتی ہیں۔
PHP منصوبے نے PHP-FPM، Apache mod_php، php-cgi، FrankenPHP اور LiteSpeed استعمال کرنے والی انٹرنیٹ سے منسلک تنصیبات کو ممکنہ طور پر متاثرہ قرار دیا۔ Apache mod_php پر خاص تشویش ظاہر کی گئی، کیونکہ محققین نے ایسے حملے کا مظاہرہ کیا جو درخواست پر ایپلیکیشن سطح کا کوڈ کارروائی شروع کرنے سے پہلے ہی عمل میں آ سکتا ہے۔
ہنگامی اپ ڈیٹس سے پہلے پیشگی تنبیہات اور ایسی اطلاعات سامنے آئی تھیں کہ منصوبہ بند انکشاف سے پہلے تکنیکی تفصیلات گردش کر رہی تھیں۔ PHP کی سیکیورٹی ٹیم نے فوری اپ ڈیٹس پر زور دیتے ہوئے خبردار کیا کہ متبادل تدارکی اقدامات مکمل تحفظ فراہم نہیں کر سکتے۔
بین الاقوامی تنبیہات میں ممکنہ خطرے اور تصدیق شدہ نقصانات میں فرق واضح کیا گیا
ENISA، CERT-EU اور Europol کے یورپی سائبر کرائم سینٹر نے مشترکہ طور پر اداروں کو متاثرہ نظاموں کی نشاندہی کرنے اور اپ ڈیٹس نافذ کرنے کا مشورہ دیا۔ برطانیہ کے نیشنل سائبر سیکیورٹی سینٹر نے انٹرنیٹ سے منسلک نظاموں کو ترجیح دینے اور جہاں فوری اصلاح ممکن نہ ہو وہاں عارضی طور پر بند کرنے پر غور کرنے کی سفارش کی۔
آسٹریلیا اور کینیڈا کے سائبر سیکیورٹی حکام نے بھی تنبیہات جاری کیں۔ محققین نے حملوں کو کامیابی سے دہرا کر دکھایا ہے اور استحصال سے متعلق معلومات عوامی سطح پر گردش کر چکی ہیں، تاہم دستیاب شواہد یہ ثابت نہیں کرتے کہ ان کمزوریوں کی وجہ سے بڑے کرپٹو ایکسچینجز یا DeFi پروٹوکولز کو براہِ راست نقصان ہوا۔
متاثرہ آپریٹرز کے لیے بیان کردہ ترجیحات میں PHP تنصیبات کا پتا لگانا، معاونت یافتہ پیچ شدہ ورژنز پر اپ گریڈ کرنا اور غیر مجاز رسائی کے آثار کے لیے نظاموں کا جائزہ لینا شامل ہے۔
نتیجہ
تنبیہات کا محور غیر محفوظ PHP انفراسٹرکچر پر پیچ لگانا اور غیر مجاز سرگرمی کی جانچ کرنا ہے۔ کرپٹو پلیٹ فارمز کے لیے فرق واضح رکھنا اہم ہے: قابلِ استحصال ویب سرورز سنگین خطرہ ہیں، لیکن وہ اثاثوں کے تصدیق شدہ نقصان کا ثبوت نہیں ہیں۔
مزید خبریں پڑھیں
دستبرداری
یہ FinanceVelix مضمون عمومی معلومات فراہم کرتا ہے، ذاتی نوعیت کا مالی، سرمایہ کاری، قانونی یا ٹیکس سے متعلق مشورہ نہیں۔ مارکیٹ کی قیمتیں، شرحِ سود اور معاشی حالات بدل سکتے ہیں؛ سرمایہ کاری میں نقصان کا خطرہ ہوتا ہے۔ حقائق اشاعت کے وقت دستیاب مواد کی عکاسی کرتے ہیں اور تبدیل ہو سکتے ہیں۔ اہم معلومات کی خود تصدیق کریں اور ضرورت پڑنے پر کسی اہل پیشہ ور سے مشورہ لیں۔ کسی اثاثے، کمپنی یا سروس کا ذکر توثیق نہیں ہے۔
