سائبر سکیورٹی کے ایک بحران پی ایچ پی (PHP) نے لاکھوں ویب سائٹس کو متاثر کیا ہے، جس کا ایک دہائی سے زیادہ عرصے تک کسی کو پتہ ہی نہیں چل سکا۔

دنیا بھر کی حکومتیں اور کمپنیاں ہیکرز کے تباہ کن حملوں سے بچنے کے لیے اپنے سسٹمز کو تیزی سے اپ ڈیٹ کر رہی ہیں۔ کئی اداروں نے مسئلہ حل ہونے تک اپنی ویب سائٹس مکمل طور پر بند کر دی ہیں۔

اس بحران کی جڑ پی ایچ پی نامی پروگرامنگ زبان میں ہے، جو 1995 میں متعارف کروائی گئی تھی اور 2000 کی دہائی کے اوائل سے ویب سائٹس بنانے کے لیے استعمال ہو رہی ہے۔

 مصنوعی ذہانت کے ایجنٹس نے اس میں سکیورٹی کی دو بڑی خامیاں دریافت کی ہیں۔ اب ہیکرز مصنوعی ذہانت کے ٹولز کی مدد سے ان خامیوں سے فائدہ اٹھانے کی کوشش کر رہے ہیں، وہ بھی پہلے سے کہیں زیادہ تیزی سے۔

اوپن اے آئی نے اسے ’حالیہ برسوں میں سامنے آنے والے سکیورٹی کے سب سے سنگین مسائل میں سے ایک‘ قرار دیا ہے۔ ان خامیوں کا سراغ لگانے والی، گوگل کی ملکیت سکیورٹی کمپنی وِز کے محققین کا کہنا ہے کہ یہ ’پی ایچ پی میں دریافت ہونے والی سنگین ترین خامیوں میں شامل ہیں، بلکہ شاید سافٹ ویئر کی پوری تاریخ کی سنگین ترین خامیوں میں بھی ان کا شمار ہوتا ہے۔‘

تو آخر ہوا کیا ہے اور یہ معاملہ اتنا اہم کیوں ہے؟

پی ایچ پی کیا ہے؟

پی ایچ پی پس پردہ ویب سائٹس کو چلاتی ہے۔ یہ سرور پر کسی صفحے کا مواد یکجا کرتی ہے اور تیار شدہ صفحہ براؤزر کو بھیج دیتی ہے۔

یہ مفت اور اوپن سورس ہے، یعنی اس کا بنیادی کوڈ سب کے لیے دستیاب ہے۔ رضاکار اسے برقرار رکھنے اور بہتر بنانے کا کام کرتے ہیں جبکہ ویب سائٹس کے مالکان کو شاذونادر ہی اس سے براہ راست واسطہ پڑتا ہے۔

ویب ٹیکنالوجی پر نظر رکھنے والے ادارے ڈبلیو تھری ٹیکس کے مطابق جن ویب سائٹس کی پروگرامنگ زبان کی شناخت ممکن ہے، ان میں سے تقریباً 70 فیصد پی ایچ پی پر چلتی ہیں۔

ورڈپریس بھی اسی کی مدد سے کام کرتا ہے۔ یہ وہ سافٹ ویئر ہے جس پر دنیا کی تقریباً 40 فیصد ویب سائٹس چلتی ہیں، جن میں بلاگز، چھوٹے کاروباروں کی ویب سائٹس، سرکاری پورٹلز، آن لائن دکانیں اور خبری ویب سائٹس شامل ہیں۔

پی ایچ پی کی خامیوں سے کیا خطرات ہیں؟

ان دونوں خامیوں کی سنگینی جانچنے کے لیے صنعت میں رائج معیاری پیمانے ’سی وی ایس ایس 4.0‘ پر انہیں 10 میں سے 9.2 درجے دیے گئے ہیں۔

یورپی یونین کی سائبر سکیورٹی رسپانس ٹیم ’سرٹ ای یو‘ کے مطابق اس درجے کا مطلب ہے کہ حملہ آور اپنی شناخت کی تصدیق کروائے بغیر، انٹرنیٹ کے ذریعے متاثرہ سرور پر کمانڈز چلا سکتا ہے۔ اس کے لیے اسے کسی پاس ورڈ یا اکاؤنٹ کی ضرورت نہیں ہوتی۔

پی ایچ پی کی ایک ہی خامی بیک وقت لاکھوں سرورز میں دراندازی کا راستہ کھول دیتی ہے۔ جو بھی اس خامی سے فائدہ اٹھا لے، ویب سائٹ کا کنٹرول اس کے ہاتھ میں آ جاتا ہے۔

ویب ہوسٹنگ کمپنی ’گو ڈیڈی‘ کے مطابق اس کے نتیجے میں ڈیٹا چوری ہو سکتا ہے، ویب صفحات کی شکل و صورت یا مواد بگاڑا جا سکتا ہے یا پورا سسٹم حملہ آور کے قبضے میں جا سکتا ہے۔ کلاؤڈ فلیئر کے چیف ٹیکنالوجی افسر نے بتایا کہ ان خامیوں کو استعمال کرتے ہوئے حملے شروع ہونے کے شواہد سامنے آ رہے ہیں۔

زیادہ تر چھوٹی ویب سائٹس ان کے مالکان خود چلاتے ہیں اور ان کے پاس سکیورٹی کا کوئی عملہ نہیں ہوتا۔ اکثر یہ ویب سائٹس مشترکہ ہوسٹنگ پر چلتی ہیں، جہاں سرور کا انتظام مالکان کے ہاتھ میں نہیں ہوتا۔ انہیں شاید یہ بھی معلوم نہ ہو کہ پی ایچ پی کو اپ ڈیٹ کرنے کی ذمہ داری کس کی ہے۔

ورڈ پریس ویب سائٹس کے سکیورٹی پلگ اِن ’ورڈ فینس‘ نے خبردار کیا ہے کہ معمول کی خودکار اپ ڈیٹس سے یہ خامیاں دور نہیں ہوں گی۔ سرٹ ای یو کی ہدایت ہے کہ متاثرہ ویب سائٹس کو حملوں کے لیے کھلا چھوڑنے کے بجائے عارضی طور پر بند کر دیا جائے۔

ان خامیوں کا سراغ کیسے ملا؟

سکیورٹی کمپنی کیلف کے مطابق، اوپن اے آئی کے ساتھ کام کرنے والے اس کے محققین نے اوپن اے آئی کے ’جی پی ٹی 5.6 سول‘ ماڈل کی مدد سے پہلی خامی دریافت کی اور 11 اگست کو پی ایچ پی کے منتظمین کو اس کی اطلاع دی۔

گوگل کی مالک کمپنی الفابیٹ کے زیرملکیت سکیورٹی ادارے وِز نے بھی الگ سے ان خامیوں کا سراغ لگایا اور 24 اگست کو دوسری خامی کی اطلاع دی۔ اس نے بھی مصنوعی ذہانت کے ماڈلز استعمال کیے۔

وِز کے مطابق یہ خامیاں ’پی ایچ پی میں دریافت ہونے والی سنگین ترین خامیوں میں شامل ہیں، بلکہ شاید سافٹ ویئر کی پوری تاریخ میں بھی ان کا شمار سنگین ترین خامیوں میں ہوتا ہے۔‘

کمپنی نے بتایا کہ یہ بنیادی خامیاں کئی دہائیوں سے موجود تھیں، لیکن یہ ثابت کرنے کے لیے کہ انہیں حملوں میں استعمال کیا جا سکتا ہے، کئی پیچیدہ مراحل سے گزرنا ضروری تھا۔ یہ کام ’انسانی محققین کی عملی صلاحیتوں کی آخری حدوں کو چھوتا تھا۔‘

امریکی صدر ڈونلڈ ٹرمپ کی انتظامیہ نے کہا کہ وہ ’صورت حال پر نظر رکھے ہوئے ہے اور خامیاں دور کرنے والی اپ ڈیٹ جلد جاری کروانے کے لیے وفاقی اداروں اور سپر انٹیلی جنس کی سرکردہ لیبارٹریوں کے ساتھ رابطے میں ہے۔‘ ٹرمپ مصنوعی ذہانت کے لیے ’سپر انٹیلی جنس‘ کی اصطلاح استعمال کرنا پسند کرتے ہیں۔

انتظامیہ نے اس دریافت کو اس بات کا ثبوت قرار دیا کہ امریکہ کی ’سپر انٹیلی جنس‘ قومی سلامتی کو مضبوط بناتی ہے۔

کون متاثر ہوا؟

ایک برطانوی وزیر نے جمعرات کو تصدیق کی کہ پی ایچ پی کی سکیورٹی خامی کے باعث حکومت کی 32 آن لائن خدمات بند ہیں، جب کہ چار جزوی طور پر دستیاب نہیں۔ برطانوی وزیراعظم کے دفتر ڈاؤننگ سٹریٹ نے کہا کہ عوام کو براہ راست فراہم کی جانے والی کوئی بڑی اور انتہائی اہم خدمت متاثر نہیں ہوئی۔

بدھ کو کئی یورپی ممالک کی سرکاری ویب سائٹس بھی بند کر دی گئی تھیں۔ ان کے منتظمین انٹرنیٹ پر سب سے زیادہ استعمال ہونے والی پروگرامنگ زبانوں میں شامل پی ایچ پی کی دو انتہائی سنگین سکیورٹی خامیاں دور کرنے کے لیے ہنگامی بنیادوں پر کام کر رہے تھے۔

پی ایچ پی کے ڈولپرز نے بدھ کو ان خامیوں کو دور کرنے کے لیے اپ ڈیٹس جاری کیں، جس کے بعد یورپی یونین کے سائبر سکیورٹی حکام نے اداروں کو مشورہ دیا کہ اگر یہ اپ ڈیٹس فوری طور پر انسٹال نہیں کی جا سکتیں تو متاثرہ ویب سائٹس بند کر دی جائیں۔

سائبر حملوں سے بچاؤ کے لیے لاکھوں ویب سائٹس کو خدمات فراہم کرنے والی کمپنی کلاؤڈ فلیئر کے مطابق، تمام ویب سائٹس میں سے تقریباً 70 فیصد متاثر ہوئی ہیں۔

کمپنی کے چیف ایگزیکٹو میتھیو پرنس نے یہ بھی بتایا کہ ان خامیوں سے فائدہ اٹھانے کے طریقے سامنے آنے کے بعد ہیکنگ کی لاکھوں کوششیں کی جا چکی ہیں۔

انہوں نے کہا: ’اس کا عوامی اعلان ہونے سے پہلے کے 10 گھنٹوں میں ہم نے کلاؤڈ فلیئر کے نیٹ ورک پر اس خامی سے فائدہ اٹھانے کی ہزاروں کوششیں دیکھیں۔ اعلان کے بعد 45 منٹ میں یہ تعداد دسیوں ہزار، دو گھنٹوں میں لاکھوں اور اب کئی ملین تک پہنچ گئی ہے۔‘

اس رپورٹ کی تیاری میں ایجنسیوں کی اضافی معاونت شامل ہے۔