PHP2Shell کی کمزوری کا نتیجہ سالوں میں انٹرنیٹ کے سب سے بڑے مربوط ہنگامی ردعمل میں سے ایک میں بڑھ گیا ہے، حکومتوں نے احتیاط کے طور پر ویب سائٹس کو آف لائن کر دیا ہے اور سیکورٹی فرموں نے PHP پروگرامنگ لینگویج چلانے والی ویب سائٹس کے خلاف لاکھوں استحصالی کوششوں کی اطلاع دی ہے، جو کہ دنیا کی تقریباً 70 فیصد سائٹس کو زیر کرتی ہے۔
گھنٹوں کے اندر اندر لاکھوں استحصال کی کوششیں۔ For more context on this story, see our ongoing artificial intelligence updates.
دی گارڈین کے مطابق، کلاؤڈ فلیئر کے سی ای او میتھیو پرنس نے کہا کہ ان کی کمپنی نے کمزوری کے عام ہونے کے بعد پہلے 45 منٹ میں استحصال کی دسیوں ہزار کوششیں ریکارڈ کیں، جو دو گھنٹے کے اندر سینکڑوں ہزاروں تک پہنچ گئیں اور "اب لاکھوں"۔ Cloudflare نے اس خامی کا عوامی طور پر اعلان کرنے سے پہلے 10 گھنٹوں میں ہزاروں کوششیں دیکھنے کی بھی اطلاع دی، ایک ایسی تفصیل جس نے اس افشاء سے نمٹنے کے طریقے کے بارے میں تشویش کو ہوا دی ہے۔
Amazon Threat Intelligence نے کہا کہ PHP2Shell کا "اب جنگل میں وسیع پیمانے پر استحصال کیا جا رہا ہے" اور یہ کہ اس نے بدھ کو پی ایچ پی ڈویلپرز کی جانب سے فکس جاری کرنے سے پہلے ہی اس خطرے سے فائدہ اٹھانے کے طریقے تلاش کرنے کے لیے متعدد اداکاروں کی جانب سے کئی کوششوں کی نشاندہی کی۔ یونیورسٹی آف سرے کے سیکیورٹی پروفیسر ایلن ووڈورڈ نے اخبار کو بتایا کہ پیچ کے دستیاب ہونے سے ایک دن پہلے اس خامی کا انکشاف ہوا تھا، جس میں کہا گیا تھا کہ "کسی نے بلی کو تھیلے سے باہر جانے دیا۔"
حکومتیں پیچ کرنے کے لیے سائٹس کو آف لائن لے جاتی ہیں۔
ردعمل غیر معمولی طور پر سخت رہا ہے۔ برطانیہ میں سائبرسیکیوریٹی کے وزیر لِز لائیڈ نے پارلیمنٹ کو بتایا کہ 32 سرکاری خدمات کو آف لائن لے لیا گیا ہے، اس اقدام کو بڑی حد تک احتیاطی طور پر بیان کیا گیا ہے جبکہ اپ ڈیٹس کا اطلاق کیا گیا ہے۔ ڈاؤننگ اسٹریٹ نے کہا کہ عوام کو درپیش کوئی اہم خدمات متاثر نہیں ہوئی ہیں اور یہ کہ کچھ محدود خدمات عارضی طور پر دستیاب نہیں ہوسکتی ہیں، لیکن اس بات پر زور دیا کہ اس کا مطلب یہ نہیں ہے کہ انہیں ہیک کیا گیا تھا۔
برطانیہ کے نیشنل سائبر سیکیورٹی سینٹر نے متاثرہ تنظیموں کو 50,000 الرٹس بھیجے اور کہا کہ اسے کامیاب ہیک کی کوئی رپورٹ موصول نہیں ہوئی۔ ایجنسی نے خطرے کے پیمانے کو "بے مثال" کے طور پر بیان کیا اور متنبہ کیا کہ یہ پیچ پرانے نظام چلانے والی کچھ تنظیموں کے لیے کام نہیں کرے گا، جس کو انہیں مکمل طور پر تبدیل کرنے کی ضرورت ہوگی۔ مبینہ طور پر عارضی بندش سے متاثر ہونے والی سائٹوں میں بی بی سی کی ٹریٹرز شو ویب سائٹ، انٹرنیٹ آرکائیو، ویکیپیڈیا اور 4چین شامل ہیں۔
ریاستہائے متحدہ میں، نیشنل سیکیورٹی ایجنسی نے ایک ایڈوائزری انتباہ جاری کیا ہے کہ یہ خامی حملہ آوروں کو ویب سرورز پر قبضہ کرنے، حساس ڈیٹا چوری کرنے، خدمات میں خلل ڈالنے اور سمجھوتہ کرنے والے نیٹ ورکس میں گہرائی تک جانے کی اجازت دے سکتی ہے۔ ایجنسی نے کہا، "سائبر اداکاروں کے PHP2Shell کو ہتھیار بنانے کا امکان ہے،" ایجنسی نے مزید کہا کہ "خطرات اتنے سنگین ہیں کہ امریکی حکومت کے محکموں اور ایجنسیوں میں فوری طور پر پیچ کرنے کی ضرورت ہے۔"
ہنگامی ردعمل نے تیزی سے سرحدوں کو عبور کیا۔ جنوبی کوریا نے ہنگامی ردعمل کے اقدامات کو فعال کیا، اپنے نجی شعبے کی سائبرسیکیوریٹی الرٹ کی سطح کو بڑھایا اور دسیوں ہزار کمپنیوں کو رہنمائی جاری کی۔ چین کی صنعت کی وزارت نے تنظیموں پر زور دیا کہ وہ اپنے سسٹمز کا معائنہ کریں، پی ایچ پی کے تازہ ترین محفوظ ورژن میں اپ گریڈ کریں اور پاس ورڈ اور کیز تبدیل کریں۔ جاپان کے وزیر اعظم نے کاروباری اداروں کی حوصلہ افزائی کی کہ وہ اس خطرے کو دور کریں یا اپنی سائٹیں بند کریں۔
PHP2Shell کو تاریخی کیوں کہا جا رہا ہے۔
این سی ایس سی کے سابق چیف ایگزیکٹیو سیاران مارٹن نے اس خامی کو "بہت خراب" اور "پانچ سالوں سے دریافت ہونے والی سب سے سنگین کمزوری" قرار دیا۔ ویز، ایک تحقیقی تنظیم جس نے اس خطرے کا پردہ فاش کیا، نے کہا ہے کہ یہ اب تک دریافت ہونے والی سافٹ ویئر کی سب سے شدید خامیوں میں سے ایک ہے۔
کمزوری کی اصل وہی ہے جو اسے AI سیکیورٹی کے لیے سنگ میل بناتی ہے۔ وز کے مطابق، پی ایچ پی کی بنیادی خامیاں کئی دہائیوں سے موجود تھیں، لیکن یہ ظاہر کرنے کے لیے کہ وہ درحقیقت استحصال کے قابل ہیں، اس کے کنارے پر اقدامات کے ایک غیر معمولی پیچیدہ سلسلے کی ضرورت ہے جو انسانی محققین عملی طور پر حاصل کر سکتے ہیں۔ کمپنی نے اپنے بلاگ پوسٹ میں لکھا، "فرنٹیئر AI ماڈلز نے اس رکاوٹ کو کافی حد تک کم کر دیا، جس سے ایک دیرینہ خامی ایک استحصال میں بدل گئی۔"
NSA کے انتباہی مراکز اس بات پر ہیں کہ حملہ آور رسائی کے ساتھ کیا کر سکتے ہیں۔ انٹرنیٹ انفراسٹرکچر کے ماہر Michał Woźniak نے The Guardian کو بتایا کہ مخالف اداکار بے نقاب سائٹس کے "وسائل پر قبضہ" کر سکتے ہیں، کیونکہ بڑی ویب سائٹس قیمتی کمپیوٹنگ پاور، سرورز اور IP ایڈریسز کو کنٹرول کرتی ہیں۔ جرائم پیشہ گروہ ایسے حملے شروع کرنے کے لیے سمجھوتہ کرنے والی سائٹس کے اندر گھونسلے بنا سکتے ہیں جن کا پتہ نہیں لگایا جا سکتا، جبکہ کرپٹو کان کن سرورز کو ہائی جیک کر کے توانائی سے بھرپور حساب کتاب مفت میں چلا سکتے ہیں۔ بہت سے معاملات میں، اس نے نوٹ کیا، سائٹ کے مالکان سمجھوتے سے آگاہ بھی نہیں ہوں گے۔
الارم کے درمیان احتیاط کا ایک نوٹ
ہر کوئی نہیں مانتا کہ نقصان ہوا ہے۔ سائبرسیکیوریٹی کمپنی کیلیف کے ایک محقق ریان آسٹن جو اس خامی کو تلاش کرنے میں کلیدی کردار ادا کرتے تھے، نے دی گارڈین کو بتایا کہ "اس وقت ایسا نہیں لگتا کہ استحصال شروع ہوا ہے یا وسیع پیمانے پر ہوا ہے۔" برٹش چیمبرز آف کامرس نے کہا کہ اس رکاوٹ نے ابھی تک برطانیہ کی فرموں کے لیے کوئی خاص مشکلات پیدا نہیں کی ہیں۔
GCHQ کے سابق سربراہ سر ڈیوڈ اومند نے، تاہم، خبردار کیا کہ روس اور چین سمیت ریاستی مخالفین اس مسئلے سے فائدہ اٹھانے کی کوشش کر سکتے ہیں اس سے پہلے کہ دفاع مکمل طور پر قائم ہو جائے، ایک یاد دہانی کہ انکشاف اور مکمل تدارک کے درمیان ونڈو وہ ہوتی ہے جب انٹرنیٹ سب سے زیادہ بے نقاب ہوتا ہے۔
سائٹ آپریٹرز کو اب کیا کرنا چاہیے۔
اب بھی سامنے آنے والی تنظیموں کے لیے، ایجنسیوں کی طرف سے رہنمائی یکساں ہے: فوری طور پر PHP کے تازہ ترین پیچ شدہ ورژن میں اپ گریڈ کریں، اس بات کی تصدیق کریں کہ پیچ صاف طور پر لاگو کیے گئے ہیں، اور جہاں سسٹم بہت پرانے ہیں وہ درست کرنے، الگ کرنے یا تبدیل کرنے کے لیے۔ NCSC کی انتباہ کہ کچھ میراثی نظام کو بالکل بھی ٹھیک نہیں کیا جا سکتا اس سے پتہ چلتا ہے کہ اس خطرے کی لمبی دم موجودہ ہنگامی صورتحال سے آگے بھی برقرار رہے گی۔
ایپی سوڈ AI کی مدد سے جارحانہ تحقیق کے بارے میں ایک بحث کو بھی حل کرتا ہے۔ ایک ہفتہ پہلے جو نظریاتی تھا وہ اب ایک زندہ عالمی واقعہ ہے: ایک AI سسٹم نے کیڑے کو ہتھیار بنانے کا ایک طریقہ ڈھونڈ لیا جو کئی دہائیوں سے بے فائدہ بیٹھے تھے، اور انٹرنیٹ پر ہر حکومت اب اپنا ہفتہ صفائی میں گزار رہی ہے۔
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
