پیچز جاری کر دیے گئے، مگر کمزور سرور اب بھی موجود ہیں
PHP نے PHP2Shell کی کمزوریوں کے لیے پیچ جاری کر دیے ہیں، لیکن سرور اس وقت تک خطرے میں رہیں گے جب تک آپریٹرز اپ ڈیٹس انسٹال کرکے PHP کو دوبارہ شروع نہیں کرتے۔ ان خامیوں کی شدت 10 میں سے 9.2 قرار دی گئی ہے اور ان کے ذریعے حملہ آور لاگ اِن کیے بغیر ویب سرورز پر کوڈ چلا سکتے ہیں۔ خامیوں کی تفصیلات اور انہیں استعمال کرنے کے ٹولز 21 اکتوبر کو پیچ جاری ہونے سے پہلے سامنے آگئے تھے۔ اس کے بعد کئی ملکوں میں سرکاری اداروں اور بڑی سروسز نے احتیاطاً اپنی ویب سائٹس عارضی طور پر آف لائن کر دیں۔
Cloudflare کے سی ای او میتھیو پرنس نے PHP2Shell کے ذریعے حملے کی لاکھوں کوششوں کی اطلاع دی۔ جرمنی کے BSI اور جاپانی حکومت نے کہا کہ انہیں کسی کامیاب حملے کی تصدیق نہیں ہوئی، جبکہ Amazon نے بتایا کہ اس کے ایک ڈیکوئی سرور نے 17 اکتوبر کو، عوامی انکشاف سے پہلے، حملے کی ایک کوشش ریکارڈ کی تھی۔ PHP Foundation نے کہا کہ اسے 2024 میں پہلی بار ایک خامی کے آثار ملے تھے اور اسے ٹھیک کرنے میں ہونے والی تاخیر کو “ساختی ناکامی” قرار دیا۔ سکیورٹی فرم Mallory نے تقریباً 884,000 ایسے انٹرنیٹ سے منسلک ہوسٹس شمار کیے جو PHP کے ایسے ورژن چلا رہے ہیں جن کے لیے سرکاری اصلاحات موجود نہیں۔ کامیاب حملوں کی اطلاعات ابھی واضح نہیں، اور کچھ محققین نے خبردار کیا ہے کہ حملوں میں اضافہ ہو سکتا ہے۔
ابھی تک کسی کرپٹو ایکسچینج یا والیٹ نے PHP2Shell سے متعلق سکیورٹی خلاف ورزی کی عوامی اطلاع نہیں دی۔ تاہم، متاثرہ ویب سائٹس لاگ اِن معلومات افشا کر سکتی ہیں، صارفین کو دھوکے والی سائٹس پر بھیج سکتی ہیں یا جائز کرپٹو سروسز کی نقالی کرکے صارفین کو نقصان دہ والیٹ ٹرانزیکشنز منظور کرنے پر آمادہ کر سکتی ہیں۔ یہ کمزوری سرور سافٹ ویئر کو متاثر کرتی ہے، صارفین کے آلات کو نہیں۔ کرپٹو ٹریڈرز کو بُک مارک کی ہوئی ویب سائٹس اور سرکاری ایپس استعمال کرنی چاہییں، غیر متوقع اپ ڈیٹ پیغامات اور سکیورٹی ای میلز کے لنکس سے بچنا چاہیے، دوہری توثیق فعال کرنی چاہیے، API کیز محدود رکھنی چاہییں، والیٹ کے پتے اور درخواستیں جانچنی چاہییں اور غیر متوقع ٹرانزیکشنز پر دستخط نہیں کرنے چاہییں۔ ٹریڈنگ بوٹس کے آپریٹرز کو متعلقہ سافٹ ویئر انحصارات بھی جانچ کر اپ ڈیٹ کرنے چاہییں۔
Neutral
PHP2Shell سائبر سکیورٹی کا ایک سنگین خطرہ ہے، لیکن رپورٹس میں کسی ایسی مخصوص کرپٹو کرنسی کی نشاندہی نہیں کی گئی جو براہِ راست متاثر ہو، اور نہ ہی کسی ایکسچینج یا والیٹ میں سکیورٹی کی خلاف ورزی کا انکشاف کیا گیا ہے۔ اس لیے کسی مخصوص کرپٹو اثاثے کی قیمت میں براہِ راست تبدیلی کی توقع کی کوئی واضح بنیاد نہیں، لہٰذا مارکیٹ کا نقطۂ نظر غیر جانب دار ہے۔
قلیل مدت میں، بڑے پیمانے پر ایکسپلائٹ کی کوششوں اور ایسے سرورز سے متعلق رپورٹس جن پر سکیورٹی پیچز نصب نہیں کیے گئے، کرپٹو ٹریڈرز کو زیادہ محتاط بنا سکتی ہیں اور ایکسچینج ویب سائٹس، والیٹ پرامپٹس اور ٹریڈنگ بوٹ سافٹ ویئر کی زیادہ باریک بینی سے جانچ کا باعث بن سکتی ہیں۔ کسی کرپٹو سروس میں سکیورٹی کی تصدیق شدہ خلاف ورزی متاثرہ اثاثوں کی عارضی فروخت یا وسیع تر خطرے سے گریز کا سبب بن سکتی ہے، لیکن ایسی کوئی بھی واردات رپورٹ نہیں ہوئی۔ طویل مدت میں، پیچز نصب کرنے اور سکیورٹی کے مضبوط طریقۂ کار اپنانے سے فشنگ اور سروس میں تعطل کا خطرہ کم ہو سکتا ہے۔ اگر واقعات سامنے آئیں تو یہ کمزوری انفرادی پلیٹ فارمز پر اعتماد کو متاثر کر سکتی ہے، لیکن بذاتِ خود یہ کرپٹو اثاثوں کے بنیادی عوامل کو تبدیل نہیں کرتی اور نہ ہی مارکیٹ کی کسی دیرپا سمت کی نشاندہی کرتی ہے۔