سیکیورٹی فرم وز ریسرچ نے 21 اکتوبر 2026 کو بنیادی PHP انجن میں اہم کمزوریوں کا انکشاف کیا، جس میں انتباہ کیا گیا کہ خامیاں — جنہیں مجموعی طور پر PHP2Shell کا نام دیا جاتا ہے — غیر مستند ریموٹ کوڈ پر عمل درآمد اور ہارٹ بلیڈ طرز کی میموری کے انکشاف کو قابل بناتا ہے جو سافٹ ویئر کے تخمینے کے 70 فیصد کی طاقت رکھتا ہے۔ پی ایچ پی پروجیکٹ نے اسی دن پیچ جاری کیے، اور ویز ویب کے بہت زیادہ انسٹال شدہ بیس پر فوری اپ ڈیٹس پر زور دے رہا ہے۔

پی ایچ پی زیادہ تر انٹرنیٹ کی ریڑھ کی ہڈی ہے: یہ ورڈپریس، جملہ، ڈروپل اور میڈیا ویکی کو طاقت دیتا ہے، وہ سافٹ ویئر جو ویکیپیڈیا چلاتا ہے۔ اہم بات یہ ہے کہ نئے انکشاف شدہ کیڑے PHP کے بنیادی انجن میں رہتے ہیں، اس کے اوپر بنی کسی ایپلیکیشن میں نہیں، یعنی سائٹس کو اس وقت بھی بے نقاب کیا جا سکتا ہے جب ان کا اپنا ایپلیکیشن کوڈ محفوظ ہو۔ For more context on this story, see our ongoing AI industry coverage.

کمزوریاں کیا ہیں؟

محققین ساگی زاڈک، شیر تماری، نیر اوہفیلڈ اور ٹومر شوارٹز کی وز کی تکنیکی تحریر کے مطابق، تمام انکشاف شدہ کیڑے میموری کی حفاظت کے مسائل ہیں جن کی جڑیں اس بات پر ہیں کہ پی ایچ پی درخواست کی کارروائی کے دوران مہلک غلطیوں کو کیسے ہینڈل کرتا ہے — خاص طور پر میموری سے باہر ہونے والی خرابیاں۔ کریش شدہ درخواست خراب اندرونی پی ایچ پی کی حالت کو پیچھے چھوڑ سکتی ہے، اور بعد میں کوئی درخواست یا کارکن جو اس باسی حالت کو دوبارہ استعمال کرتا ہے وہ میموری کے انکشاف یا میموری کی خرابی کو متحرک کر سکتا ہے۔

نتائج کو CVSS 9.2 کی زیادہ سے زیادہ شدت کے ساتھ دو CVEs کے تحت گروپ کیا گیا تھا:

  • CVE-2026-109618 — ایک اپ لوڈ پروگریس غیر سیریلائزر استعمال کے بعد مفت ہے جس سے حملہ آور ریموٹ پروسیس میموری کے انکشاف اور ظاہر شدہ زنجیروں میں، مکمل ریموٹ کوڈ پر عمل درآمد کر سکتا ہے۔ Wiz نے ورڈپریس، ڈروپل اور جملہ پر پی ایچ پی ورکر میموری اور پری توثیق RCE کے غیر مستند انکشاف کا مظاہرہ کیا۔
  • CVE-2026-109619 — ایک OPcache قسم کے کنفیوژن کے ساتھ مل کر ایک مہلک خرابی کے بیک ٹریس استعمال کے بعد، ڈروپل اور ورڈپریس پر پہلے سے توثیق کے ریموٹ کوڈ پر عمل درآمد کرنے کا بھی مظاہرہ کیا۔

ویز نے کہا کہ حملہ آور جو میموری پڑھ سکتے ہیں اس میں پاس ورڈز، تصدیقی ٹوکنز، API کیز اور دیگر درخواستوں یا سرور سے متعلق سرٹیفکیٹ شامل ہو سکتے ہیں۔ پچھلی دہائی میں جاری ہونے والا ہر پی ایچ پی ورژن — پی ایچ پی 5.4 پر واپس جانا — کم از کم ایک کمزوری سے متاثر ہوتا ہے، اور کمپنی کا کہنا ہے کہ یہ درجہ پی ایچ پی میں اب تک پائی جانے والی شدید ترین خامیوں میں سے ہے۔

جہاں AI آتا ہے۔

ویز کی رپورٹ میں سب سے زیادہ نتیجہ خیز دعوی پی ایچ پی کے بارے میں نہیں ہے - یہ اس بارے میں ہے کہ فرنٹیئر اے آئی ماڈلز نے ترقی کا استحصال کرنے کے لئے کیا کیا ہے۔

وِز لکھتے ہیں، بنیادی خامیاں کئی دہائیوں سے موجود تھیں، لیکن استحصال کو ثابت کرنے کے لیے "قدموں کی ایک غیر معمولی پیچیدہ زنجیر کی ضرورت تھی، جو انسانی محققین عملی طور پر حاصل کر سکتے تھے۔" اس استحصال کو متعدد خامیوں کو زنجیر بنانا تھا اور بار بار جانچ اور ڈیبگنگ کے ذریعے ہر ہدف کی میموری کی ترتیب کو اپنانا تھا۔

کمپنی کا کہنا ہے کہ فرنٹیئر اے آئی ماڈلز نے اس رکاوٹ کو کافی حد تک کم کیا - "ایک دیرینہ خامی کو استحصال میں بدلنا" - اور ویز کی ٹیم کو ہفتوں کے بجائے گھنٹوں کے بجائے متعدد ایپلی کیشنز میں کام کرنے والے کارناموں کو تیار کرنے اور ڈھالنے کے قابل بنایا۔

محققین نے لکھا، "جیسے جیسے اس کام کے لیے وقت اور مہارت کی ضرورت ہوتی ہے، پیچیدگی اب کوئی بامعنی رکاوٹ فراہم نہیں کر سکتی ہے، اس سے یہ بدل جاتا ہے کہ ہم کس طرح اس کی وضاحت کرتے ہیں کہ عملی طور پر کیا کمزور ہے۔"

AI دور میں ایک اہم موڑ؟

Wiz واضح طور پر PHP2Shell کو ویب سیکیورٹی میں دو پہلے کے واٹرشیڈ لمحات کے ساتھ ساتھ فریم کرتا ہے: 2014 میں Heartbleed، جس نے انٹرنیٹ کو محفوظ کرنے والے مشترکہ انفراسٹرکچر کی نزاکت کو بے نقاب کیا، اور 2021 میں Log4Shell، جس نے انکشاف کیا کہ سافٹ ویئر پر انحصار کس حد تک وسیع پیمانے پر پھیلتا ہے۔ کمپنی کا استدلال ہے کہ PHP2Shell اسی طرح کے ایک اہم موڑ کو نشان زد کر سکتا ہے - اس بار یہ واضح کرتا ہے کہ AI کس طرح طویل عرصے سے معلوم کمزوریوں کے عملی استحصال کو تبدیل کرتا ہے۔

یہ فریمنگ پی ایچ پی سے آگے کی اہمیت رکھتی ہے۔ نظریاتی کمزوریاں جو محفوظ طریقے سے پہنچ سے باہر تھیں کیونکہ ان کا استحصال کرنا بہت مشکل، بہت سست یا بہت ماہر تھا اب AI ٹولنگ سے لیس اچھے وسائل والے حملہ آوروں کی پہنچ میں ہو سکتا ہے - دفاعی بجٹ، پیچ کیڈینس اور انکشاف ٹائم لائنز کے لیے واضح مضمرات کے ساتھ سافٹ ویئر انڈسٹری میں تبدیلی۔

ایک مربوط کراس انڈسٹری فکس

یہ انکشاف مربوط تھا۔ ویز نے دریافت، رابطہ کاری اور پیچ کی تصدیق پر کام کرنے کے لیے PHP ٹیم اور OpenAI کا شکریہ ادا کیا، یہ نوٹ کرتے ہوئے کہ OpenAI اور PHP دونوں نے کمزوری کی تاریخ اور انکشاف کے عمل کے بارے میں اپنی اپنی تکنیکی تحریریں شائع کیں۔

ایک کراس انڈسٹری گروپ — بشمول Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft اور Vercel — نے ان صارفین کے لیے رہنمائی اور باکس سے باہر کی تخفیفات تیار کیں جو فوری طور پر پیچ نہیں کر سکتے۔ Cloudflare نے 21 اکتوبر کو علیحدہ طور پر اعلان کیا کہ اس نے اپنے صارفین کے لیے PHP کی کمزوریوں کے خلاف WAF تحفظات کو تعینات کر دیا ہے۔

سائٹ کے مالکان کو کیا کرنا چاہیے۔

Wiz کی طرف سے مشورہ دو ٹوک ہے: فوری طور پر پیچ کریں۔ پی ایچ پی پروجیکٹ نے 21 اکتوبر 2026 کو میموری کی حفاظت کے خطرات کے لیے اصلاحات جاری کیں، اور ہر معاون پی ایچ پی کی تعیناتی کو جلد از جلد اپ ڈیٹ ہونا چاہیے۔

وہ تنظیمیں جو ابھی پیچ نہیں کر سکتیں ان کو اپنے CDN، ہوسٹنگ یا WAF فراہم کنندگان کے ذریعہ شائع کردہ تخفیف کو لاگو کرنا چاہئے، جن میں سے کئی پہلے دن استحصال کی زنجیروں کو نشانہ بناتے ہوئے بھیجے گئے قواعد۔ WordPress، Drupal اور Joomla fleets کے منتظمین کو اسے ترجیحی پیچ سائیکل کے طور پر لینا چاہیے: Wiz نے تینوں پلیٹ فارمز کے خلاف پہلے سے توثیق کے ریموٹ کوڈ پر عمل درآمد کا مظاہرہ کیا، اور کمزور کوڈ کے راستے موجود ہیں اس سے قطع نظر کہ ان کے اوپر موجود ایپلی کیشنز کتنی اچھی طرح سے برقرار ہیں۔

گہرا سبق وہی ہو سکتا ہے جو خود Wiz نے کھینچا تھا: جب AI مہینوں کی انجینئرنگ کے استحصال کو گھنٹوں میں سمیٹ سکتا ہے، تو صنعت کی "عملی طور پر قابل استحصال" کی ورکنگ تعریف - اور اس کے ساتھ، ذمہ دار پیچنگ ٹائم لائنز کا مطلب - ابھی بدل گیا ہے۔

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →