پی ایچ پی میں سنگین خامی: این ایس اے کی ہنگامی وارننگ، دنیا بھر کی ویب سائٹس بند

انٹرنیٹ کی بنیاد ہل گئی ہے — اور وجہ ایک ایسی پروگرامنگ زبان میں دریافت ہونے والی دو سنگین خامیاں ہیں جس پر دنیا کی تقریباً 70 فیصد ویب سائٹس چلتی ہیں۔ بدھ 21 اکتوبر کو جب ان خامیوں کا انکشاف ہوا تو امریکی قومی سلامتی ایجنسی (این ایس اے) نے غیر معمولی طور پر کھلی وارننگ جاری کی: “پی ایچ پی استعمال کرنے والی تمام تنظیموں کو ہدایت کی جاتی ہے کہ وہ دو سنگین خامیوں کے ازالے والی اپڈیٹ کے لیے فوری تیار رہیں۔” ایجنسی نے کہا کہ جو ادارے فوری اپڈیٹ نہ کر سکیں، وہ اپنی ویب سائٹس عارضی طور پر بند کر دیں — اور دنیا بھر کی حکومتوں نے بالکل یہی کیا۔

“پی ایچ پی ٹو شیل” (PHP2Shell) کے نام سے مشہور یہ دونوں خامیاں — CVE-2026-109618 اور CVE-2026-109619 — حملہ آور کو بغیر پاس ورڈ کے ویب سرور پر قبضے کا راستہ دیتی ہیں۔ این ایس اے کے مطابق یہ خامیاں “اکثر سرور کی فائل سسٹم یا ڈیٹا بیس تک براہِ راست رسائی” فراہم کرتی ہیں، یعنی حملہ آور ویب سائٹ کا ڈیٹا چرا سکتا ہے یا پورا سرور اپنے کنٹرول میں لے سکتا ہے۔ دونوں خامیوں کی شدت دس میں سے 9.2 درج کی گئی ہے۔

سب سے حیران کن پہلو یہ ہے کہ یہ خامیاں مصنوعی ذہانت کی مدد سے دریافت ہوئیں۔ سکیورٹی فرم کیلیف نے اوپن اے آئی کے تعاون سے GPT-5.6 Sol ماڈل استعمال کر کے پہلی خامی 11 اگست کو رپورٹ کی۔ گوگل کی ملکیت والی سکیورٹی کمپنی وز نے جیمنائی 4 آرگن اور GPT-5.6 Sol کی مدد سے دوسری خامی 24 اگست کو آزادانہ طور پر تلاش کی۔ وز کے مطابق یہ خامیاں “دہائیوں سے موجود تھیں، مگر ان کے قابلِ استحصال ہونے کا ثبوت ایسے مراحل کا متقاضی تھا جو انسانی محققین کی عملی پہنچ کے کنارے پر تھے۔” یہ پہلا موقع نہیں کہ مصنوعی ذہانت سائبر سکیورٹی کی خبروں میں آئی ہو — اسی ہفتے اوپن اے آئی نے خود انکشاف کیا تھا کہ اس کے ماڈلز ویب سائٹس ہیک کرنے اور کرپٹو والیٹ خالی کرنے میں استعمال ہوئے۔

پی ایچ پی کے رضاکار ڈویلپرز نے بدھ کو ہنگامی اپڈیٹ جاری کی — ورژن 8.5.12، 8.4.27، 8.3.36 اور 8.2.35۔ مگر انکشاف سے ایک دن پہلے، منگل کو، خامیوں کی تفصیلات آن لائن لیک ہو گئیں۔ نتیجہ یہ نکلا کہ حملہ آوروں اور محافظوں کو ایک ہی وقت میں خبر ملی — اور دنیا بھر میں ویب سائٹس بند ہونے کا سلسلہ شروع ہو گیا۔

متاثرہ سائٹس کی فہرست لمبی ہے: ویکیپیڈیا کے کچھ حصے، پیرس پولیس پریفیکچر سمیت فرانس کی مقامی انتظامی ویب سائٹس، نیدرلینڈز کی قومی ڈیجیٹل شناختی سروس ڈیجی ڈی، ایوانِ نمائندگان اور قومی سائبر سکیورٹی مرکز کی سائٹس، بیلجیم کی وزارتِ خارجہ، جرمنی، فن لینڈ اور چیک جمہوریہ کی سرکاری سائٹس — اور پن بورڈ اور فور چین جیسے مشہور پلیٹ فارم بھی عارضی طور پر بند ہوئے۔ جاپان کی وزیرِ اعظم سنائے تاکائیچی نے خود سوشل میڈیا پر اس خطرے سے خبردار کیا۔

پی ایچ پی فاؤنڈیشن کے سکیورٹی انجینئر ووکر ڈش نے وال اسٹریٹ جرنل کو بتایا کہ یہ “دس سال سے زائد عرصے میں پی ایچ پی کو درپیش سب سے سنگین مسئلہ” ہے، اور اس کا موازنہ 2014 کی ہارٹ بلیڈ خامی سے کیا — جس نے اس وقت پوری دنیا میں اپڈیٹ کی دوڑ لگا دی تھی۔ فاؤنڈیشن نے اپنے بلاگ میں لکھا: “اگر آپ پی ایچ پی چلاتے ہیں تو ابھی اپڈیٹ کرنا ناگزیر ہے۔”

اس واقعے کا سب سے گہرا سبق یہ ہے کہ مصنوعی ذہانت سائبر جنگ کا میدان بدل رہی ہے۔ اسی سال دریافت ہونے والی خامیوں کی تعداد گزشتہ سال کے ریکارڈ سے تقریباً دوگنی ہونے کے راستے پر ہے، کیونکہ AI انسانوں سے کہیں زیادہ حملے آزما سکتی ہے۔ دفاع کرنے والوں کو اس بار پہل ملی، مگر لیک نے یہ فائدہ برابر کر دیا۔ پی ایچ پی فاؤنڈیشن کی وارننگ دوٹوک ہے: “اب ٹولز پہلے سے کہیں تیز خرابیاں تلاش کر لیتے ہیں — دفاع کرنے والوں کے لیے بھی اور حملہ آوروں کے لیے بھی۔” مصنوعی ذہانت کے خطرات پر بحث صرف سائبر حملوں تک محدود نہیں — امریکہ میں آٹھ ریاستوں نے چیٹ جی پی ٹی کو بچوں کے لیے خطرہ قرار دے کر اوپن اے آئی پر مقدمہ بھی دائر کر رکھا ہے۔

پاکستان کے لیے یہ خبر براہِ راست اہمیت رکھتی ہے۔ ورڈپریس — جس پر پاکستان کی لاکھوں ویب سائٹس، آن لائن اسٹورز اور نیوز پورٹل چلتے ہیں — اسی پی ایچ پی پر بنا ہے۔ جو کاروبار اپنا سرور خود چلاتے ہیں، انہیں فوری اپڈیٹ کرنا ہوگا؛ جو ہوسٹنگ کمپنیوں پر انحصار کرتے ہیں، انہیں اپنے ہوسٹ سے اپڈیٹ کی تصدیق کرنی چاہیے۔ این ایس اے کا پیغام سادہ ہے: اپڈیٹ کرو — یا عارضی طور پر آف لائن ہو جاؤ۔