OpenAI کا php2shell چیکر PHP کے خطرات کی نشاندہی کرتا ہے، مگر اس کے محفوظ ہونے کا ثبوت نہیں دیتا
OpenAI نے php2shell-checker جاری کیا ہے، جو ایک اوپن سورس ٹول ہے اور یہ جانچتا ہے کہ آیا PHP کی تنصیبات دو سنگین کمزوریوں، CVE-2026-109618 اور CVE-2026-109619، سے متاثر ہو سکتی ہیں۔ ان خامیوں کے ذریعے غیر مصدقہ حملہ آور خصوصی طور پر تیار کردہ HTTP درخواستوں کے ذریعے سرور پر کوڈ چلا سکتے ہیں۔
php2shell-checker کو Codex skills کے طور پر یا Node.js کمانڈ کے ذریعے چلایا جا سکتا ہے۔ URL کی جانچ صرف HEAD درخواست بھیجتی اور سرور کے ہیڈرز پڑھتی ہے؛ یہ ایکسپلائٹ کوڈ نہیں بھیجتی۔ نتائج کو OK، VULNERABLE یا UNKNOWN کے طور پر دکھایا جاتا ہے، اور خودکار اسکینز کے لیے JSON آؤٹ پٹ بھی دستیاب ہے۔
OpenAI نے خبردار کیا ہے کہ OK کا نتیجہ ورژن نمبروں پر مبنی ہوتا ہے اور یہ آزادانہ طور پر تصدیق نہیں کرتا کہ کوئی اصلاح مؤثر ہے۔ چھپے ہوئے ہیڈرز اور Linux کے سیکیورٹی بیک پورٹس کے باعث بھی UNKNOWN آ سکتا ہے، جس کا مطلب یہ نہیں کہ سسٹم پر پیچ لگ چکا ہے۔ منتظمین کو چاہیے کہ اپنے PHP ورژن کو سرکاری سیکیورٹی رہنمائی سے ملا کر دیکھیں اور درست شدہ ریلیز پر اپ گریڈ کریں۔ CISA نے PHP 8.5.12، 8.4.27، 8.3.36 اور 8.2.35 کو پیچ شدہ ورژنز میں شامل کیا ہے۔
یہ مسئلہ کرپٹو کاروباروں کے لیے اہم ہے، کیونکہ بہت سی ویب سائٹس PHP استعمال کرتی ہیں، جن میں ایسے پلیٹ فارمز بھی شامل ہیں جو ایکسچینج یا پروجیکٹ کے صفحات کی میزبانی کر سکتے ہیں۔ ہیک کی گئی سائٹ کو فشنگ یا والیٹ کے پتے تبدیل کرنے کے لیے استعمال کیا جا سکتا ہے۔ یہ چیکر ابتدائی فہرست سازی میں مدد دیتا ہے، لیکن پیچ لگانے یا ویب ایپلیکیشن فائر وال کے تحفظ کا متبادل نہیں ہے۔
Neutral
php2shell-checker کا اجرا سائبر سکیورٹی سے متعلق پیش رفت ہے، کرپٹو کرنسی کی قیمتوں میں براہِ راست تبدیلی کا سبب نہیں۔ اس سے ٹوکن کی رسد، پروٹوکول کی معاشیات، ضابطہ کاری کے حالات یا ٹریڈنگ تک رسائی میں کوئی تبدیلی نہیں آتی، اس لیے فوری طور پر پوری مارکیٹ میں ردِعمل کا امکان کم ہے۔ اس کے باوجود، ٹریڈرز کرپٹو ایکسچینجز یا کرپٹو منصوبوں کی ویب سائٹس پر حملوں کی خبروں پر نظر رکھ سکتے ہیں، کیونکہ ان سے فشنگ، والٹ ایڈریس میں چھیڑ چھاڑ یا سروس میں عارضی تعطل پیدا ہو سکتا ہے۔ مضمون میں سامنے آنے والے استحصال سے متعلق متضاد رپورٹس کا ذکر ہے، اس لیے کسی بھی واقعے کی وسعت غیر یقینی ہے۔
قلیل مدت میں مارکیٹ پر ممکنہ بنیادی اثر جذبات سے متاثر اور کسی ایک کمپنی تک محدود ہوگا: تصدیق شدہ سکیورٹی breach متاثرہ پلیٹ فارم پر اعتماد کو کم کر سکتا ہے اور اس کے ٹوکن یا متعلقہ اثاثوں میں اتار چڑھاؤ بڑھا سکتا ہے۔ یہ ماضی کی نمایاں سافٹ ویئر کمزوریوں، مثلاً Log4Shell، سے مشابہ ہے، جب پوری کرپٹو مارکیٹ میں یکساں حرکت کے بجائے توجہ غیر محفوظ سروسز اور عملیاتی خطرات پر مرکوز تھی۔ طویل مدت میں یہ ٹول سکیورٹی جانچ کو تیز کرنے کی ترغیب دے سکتا ہے، لیکن یہ سسٹمز کی مرمت نہیں کرتا؛ اپ گریڈ، WAF تحفظ اور درست تصدیق اب بھی ضروری ہیں۔ مجموعی طور پر، اس خبر کو وسیع تر کرپٹو مارکیٹ کے لیے غیر جانب دار سمجھنا بہتر ہے، جبکہ کسی ایسے پلیٹ فارم کے لیے مشروط منفی خطرہ موجود ہے جس کے بارے میں بعد میں تصدیق ہو کہ اس میں دراندازی ہوئی تھی۔