PHP کی سنگین خامیاں Web3 کے بنیادی ڈھانچے کو خطرے میں ڈال رہی ہیں

دو اہم PHP کمزوریاں، CVE-2026-109618 اور CVE-2026-109619، کا CVSS v4.0 اسکور 9.2 ہے۔ ان کے ذریعے عوامی طور پر دستیاب PHP سروسز پر بغیر تصدیق کے دور سے کوڈ چلایا جا سکتا ہے۔ ایمیزون کے ہنی پاٹس نے 17 اکتوبر ہی سے ممکنہ حملوں کی کوششوں کا پتا لگا لیا تھا۔ PHP ٹیم کی جانب سے 21 اکتوبر کو طے شدہ وقت سے پہلے ہنگامی پیچ جاری کرنے سے قبل کمزوریوں کی تفصیلات لیک ہو گئیں۔ یہ خامیاں PHP کے 5.4 سے 8.5.11 تک کے ورژنز کو متاثر کرتی ہیں۔ SlowMist نے اسکین کیے گئے 1,488 کرپٹو سے متعلق ڈومینز میں سے 793، یعنی تقریباً 53.3 فیصد، پر PHP کے واضح آثار پائے۔ یہ PHP کے استعمال کی نشاندہی کرتا ہے، نہ کہ کمزوری سے متاثر ہونے یا سسٹم کے ہیک ہونے کی تصدیق۔ خطرے سے دوچار Web3 انفراسٹرکچر میں ویب سائٹس، APIs، ایئرڈراپ صفحات، ایڈمن پینلز، ادائیگی کی انٹیگریشنز اور ہوسٹڈ والیٹ سروسز شامل ہو سکتی ہیں۔ سرور میں نقب لگنے سے لاگ اِن معلومات افشا ہو سکتی ہیں یا صفحات میں ایسی تبدیلی کی جا سکتی ہے جو صارفین کو دھوکے سے نقصان دہ ٹرانزیکشنز پر دستخط کرنے پر آمادہ کرے۔ تاہم، اس سے اسمارٹ کنٹریکٹس، والیٹس یا نجی کلیدیں براہِ راست متاثر نہیں ہوتیں۔ پیچ شدہ ریلیزز PHP 8.2.35، 8.3.36، 8.4.27 اور 8.5.12 ہیں۔ منصوبوں کو فوراً اپ گریڈ کرنا، عوامی طور پر دستیاب سسٹمز کی جانچ کرنا اور اگر سمجھوتے کا شبہ ہو تو اسناد تبدیل کرنی چاہییں۔ PHP 8.1 اور اس سے پرانے ورژنز کو معاونت یافتہ ریلیزز پر منتقل کیا جانا چاہیے۔ عارضی حفاظتی اقدامات حملے کے بعض راستے کم کر سکتے ہیں، لیکن پیچ لگانا ہی حتمی حل ہے۔ خطرہ آف چین Web3 سکیورٹی سے متعلق ہے؛ رپورٹس سے یہ ثابت نہیں ہوتا کہ کرپٹو اثاثے ضائع ہوئے ہیں، اور صرف ان کمزوریوں کی بنا پر اثاثے نکالنے کی ضرورت نہیں۔