PHP Foundation نے تسلیم کیا ہے کہ فیصلہ سازی کے مسائل اور محدود وسائل کے باعث 2024 میں پہلی بار نشاندہی کی گئی خامی کے لیے PHP سکیورٹی فکس میں تاخیر ہوئی۔ بدھ کو دو متعلقہ سنگین کمزوریوں کے لیے ہنگامی پیچ جاری کیے جانے کے بعد، سرکاری اداروں اور دیگر تنظیموں نے احتیاطی تدبیر کے طور پر ویب سائٹس آف لائن کر دیں۔
اہم نکات
- فاؤنڈیشن نے تاخیر سے ردِعمل کو اپنے سکیورٹی عمل اور وسائل سے جڑی ساختی ناکامی قرار دیا۔
- یہ کمزوریاں غیر مصدقہ حملہ آوروں کو متاثرہ سرورز پر کوڈ چلانے کا موقع دے سکتی ہیں۔
- کرپٹو تنظیموں نے اپنے ممکنہ خطرے کا جائزہ لیا، جبکہ Coinbase اور BitGo نے بتایا کہ ان کے کوئی سسٹم متاثر نہیں ہوئے۔
فہرستِ مضامین
- مطابقت اور عملے کی کمی کے باعث PHP سکیورٹی فکس تعطل کا شکار
- عوامی خدمات میں احتیاطی بندشیں پھیل گئیں
- کرپٹو کمپنیاں ممکنہ خطرے کا جائزہ لے رہی ہیں
- استحصال کی موجودہ صورتِ حال، ثابت شدہ خطرے سے الگ ہے
- نتیجہ
مطابقت اور عملے کی کمی کے باعث PHP سکیورٹی فکس تعطل کا شکار
فاؤنڈیشن کی وضاحت سے توجہ اس بات پر مرکوز ہوتی ہے کہ ایک معلوم تکنیکی مسئلہ مہینوں تک حل طلب کیوں رہا۔ ڈیولپرز نے 2024 میں کمزوری کے آثار کی نشاندہی کی، لیکن ایسا حل تلاش کرنے میں دشواری کا سامنا کیا جس سے PHP پر قائم وسیع سافٹ ویئر ایکو سسٹم متاثر نہ ہو۔ PHP ایک ایسی زبان ہے جو ویب سائٹس اور ویب ایپلیکیشنز میں بڑے پیمانے پر استعمال ہوتی ہے۔
اس مرحلے پر، ڈیولپرز ریموٹ کوڈ ایگزیکیوشن کا راستہ ثابت نہیں کر پائے تھے۔ فاؤنڈیشن کے مطابق، PHP انجن کے بارے میں ضروری مہارت رکھنے والے چھوٹے گروپ کے ارکان پر دوسری ذمہ داریاں بھی تھیں، جس کے باعث فکس پر کام بار بار رک کر دوبارہ شروع ہوتا رہا۔
اس نے تاخیر کو سکیورٹی ٹیم کے فیصلہ سازی کے عمل اور ناکافی وسائل کے باعث ہونے والی ایک “ساختی ناکامی” قرار دیا۔
11 اگست کو سکیورٹی فرم Calif اور OpenAI کی جانب سے آزادانہ طور پر اسی بنیادی مسئلے کی رپورٹ کے بعد یہ معاملہ سکیورٹی کی اولین ترجیح بن گیا۔ Calif نے غیر مشروط ریموٹ کوڈ ایگزیکیوشن کا مظاہرہ کیا۔
عوامی خدمات میں احتیاطی بندشیں پھیل گئیں
ہنگامی ریلیزز کے بعد متعدد ممالک میں خلل پیدا ہوا، کیونکہ آپریٹرز نے اپ ڈیٹس تیار کرتے ہوئے خدمات منقطع کر دیں۔ نیدرلینڈز نے اپنی ڈیجیٹل شناخت کی سروس بند کر دی، اور اس کے نیشنل سائبر سکیورٹی سینٹر نے بھی اپنی ویب سائٹ آف لائن کر دی۔
فن لینڈ کے سرکاری آئی ٹی فراہم کنندہ Valtori نے سرکاری عوامی ویب سروسز منقطع کر دیں، جبکہ فرانس کی وزارتِ داخلہ نے پریفیکچر کی ویب سائٹس عارضی طور پر سروس سے ہٹا دیں۔ جرمنی کے وفاقی آئی ٹی فراہم کنندہ ITZBund نے بھی کئی ویب سائٹس غیر فعال کر دیں۔
آسٹریلیا کے سگنلز ڈائریکٹوریٹ نے کہا کہ cyber.gov.au ان سرکاری ویب سائٹس میں شامل تھی جو PHP کے مسئلے سے متاثر ہوئیں۔ جاپان کی وزیرِاعظم Sanae Takaichi نے آپریٹرز پر زور دیا کہ وہ تیزی سے پیچ لگانے کی تیاری کریں، اور کہا کہ جب فوری اپ ڈیٹس ممکن نہ ہوں تو ویب سائٹ کی بعض سہولتیں عارضی طور پر معطل کرنے سے خطرہ کم ہو سکتا ہے۔
Wikimedia Foundation نے بھی معاون خدمات آف لائن کر دیں، جن میں Toolforge اور Cloud VPS شامل تھے۔ اس سے بدھ کو Wikipedia کی بعض سہولتیں متاثر ہوئیں۔
کرپٹو کمپنیاں ممکنہ خطرے کا جائزہ لے رہی ہیں
بلاک چین سکیورٹی فرم SlowMist نے کہا کہ اس کی MistEye سروس نے جائزہ لیے گئے کرپٹو انڈسٹری کے 1,488 ڈومینز میں سے 793 پر PHP کے براہِ راست فنگر پرنٹس پائے۔ اس نے ایکسچینجز، DeFi پلیٹ فارمز اور والیٹ فراہم کنندگان پر زور دیا کہ وہ اپنے ممکنہ خطرے کا جائزہ لیں اور اپ گریڈ کریں۔ ان نتائج سے PHP کے استعمال کی نشاندہی ہوئی، نہ کہ ان ڈومینز کے کمزور ہونے کی تصدیق۔
Cardano کی ترقی اور گورننس کی معاون رکنیتی تنظیم Intersect نے ممکنہ خطرے کا جائزہ لیتے ہوئے اپنا Members Area عارضی طور پر بند کر دیا۔
Coinbase کے چیف سکیورٹی افسر Jeff Lunglhofer نے کہا کہ کمپنی کو PHP کے ایسے کسی انسٹینس کے سامنے آنے کا ثبوت نہیں ملا جو خطرے سے دوچار ہو، اور وہ تیسرے فریق کے سپلائرز سے بھی تصدیق کر رہی تھی۔ BitGo نے الگ سے کہا کہ اس کا پلیٹ فارم متاثر نہیں ہوا۔
استحصال کی موجودہ صورتِ حال، ثابت شدہ خطرے سے الگ ہے
ریموٹ کوڈ ایگزیکیوشن کے ثابت شدہ خطرے کے باوجود، PHP کی سکیورٹی ٹیم نے کہا کہ عوامی انکشاف کے وقت اسے کسی فعال ایکسپلائٹ کا سراغ نہیں ملا تھا۔
OpenAI نے GitHub کے ذریعے Codex skill جاری کی تاکہ آپریٹرز ممکنہ طور پر کمزور PHP ورژنز کی جانچ کر سکیں اور قابلِ اطلاق اپ ڈیٹس کی شناخت کر سکیں۔
نتیجہ
ہنگامی پیچ فوری کمزوریوں کا حل فراہم کرتے ہیں، جبکہ فاؤنڈیشن کا اعتراف ان خامیوں کو نمایاں کرتا ہے جن کے باعث ان کے اجرا میں تاخیر ہوئی۔ رپورٹ ہونے والی بندشیں احتیاطی اقدامات تھیں، اس بات کا ثبوت نہیں کہ متاثرہ تنظیموں کے نظاموں میں نقب لگائی گئی تھی۔
مزید خبریں پڑھیں
دستبرداری
FinanceVelix کا یہ مضمون عمومی معلومات فراہم کرتا ہے، ذاتی نوعیت کا مالی، سرمایہ کاری، قانونی یا ٹیکس مشورہ نہیں۔ مارکیٹ کی قیمتیں، شرحِ سود اور معاشی حالات بدل سکتے ہیں؛ سرمایہ کاری میں نقصان کا خطرہ ہوتا ہے۔ حقائق اشاعت کے وقت دستیاب مواد کی عکاسی کرتے ہیں اور تبدیل ہو سکتے ہیں۔ اہم معلومات کی آزادانہ تصدیق کریں اور ضرورت پڑنے پر کسی مستند پیشہ ور سے مشورہ لیں۔ کسی اثاثے، کمپنی یا سروس کا ذکر اس کی توثیق نہیں ہے۔
