PHP2Shell: اپنے PHP سرور کو چیک اور پیچ کرنے کی مکمل گائیڈ
اگر آپ کی ویب سائٹ PHP پر چلتی ہے تو یہ تحریر آپ کے لیے ہے۔ 21 اکتوبر 2026 کو PHP پروجیکٹ نے دو سنگین خامیوں، CVE-2026-109618 اور CVE-2026-109619، کے پیچ جاری کیے۔ اسی دن FBI، NSA، برطانیہ کے NCSC اور جاپان کے وزیر اعظم نے اداروں سے کہا کہ اپنا PHP فوراً چیک کریں۔ یہاں سب سے ضروری باتیں سادہ اردو میں ہیں۔
مختصر صورتحال
- دونوں خامیاں PHP کے کور میں ہیں اور CVSS 4.0 پر ہر ایک کا اسکور 9.2 ہے۔
- PHP کی اپنی ایڈوائزری کے مطابق حملہ آور لاگ اِن کیے بغیر سرور پر کوڈ چلا سکتا ہے۔
- پیچ عام ہونے سے پہلے ہی حملے دیکھے گئے۔
- WordPress یا پلگ اِنز اپڈیٹ کرنے سے یہ مسئلہ حل نہیں ہوتا۔ PHP خود اپڈیٹ کرنا ضروری ہے۔
ویڈیو دیکھیں
پہلا قدم: دیکھیں PHP کہاں چل رہا ہے
انٹرنیٹ سے جڑے سرورز سے شروع کریں، پھر کنٹرول پینل اور وہ مصنوعات دیکھیں جن کے اندر PHP شامل ہوتا ہے۔ ہر سرور کا PHP ورژن لکھ لیں اور یہ بھی کہ وہ mod_php، PHP-FPM یا کچھ اور استعمال کرتا ہے۔ PHP کی ایڈوائزری کے مطابق mod_php سب سے زیادہ خطرے والی ترتیب ہے۔
php -v
php-fpm -v
apachectl -M | grep -i php
ps -eo pid,ppid,user,cmd | grep -E "php-fpm|apache2|httpd" | grep -v grepدوسرا قدم: درست ورژن سے موازنہ
| برانچ | پیچ شدہ ورژن |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 (سپورٹ 31 دسمبر 2026 کو ختم) |
| 8.1 اور پرانے | کوئی سرکاری ریلیز نہیں۔ اپنے وینڈر سے بیک پورٹ پوچھیں یا نئی برانچ پر جائیں۔ |
اگر PHP لینکس ڈسٹری بیوشن کے پیکج سے آیا ہے تو بیک پورٹ کے بعد بھی ورژن نمبر پرانا رہ سکتا ہے۔ اس لیے changelog پڑھیں، مثلاً Debian اور Ubuntu پر apt changelog php8.3-fpm | head -n 30۔
تیسرا قدم: پیچ، ری سٹارٹ، تصدیق
پیکج یا بلڈ اپڈیٹ کریں، پھر وہ پروسیس ری سٹارٹ کریں جو ویب درخواستیں سنبھالتے ہیں۔ چلتا ہوا PHP-FPM ری سٹارٹ ہونے تک پرانا کوڈ استعمال کرتا رہتا ہے۔ اس کے بعد ورژن ویب سائیڈ سے بھی چیک کریں، صرف کمانڈ لائن سے نہیں۔
چوتھا قدم: غلط استعمال کی نشانیاں
20 اکتوبر کے بعد کے لاگز دیکھیں۔ اگر ویب سرور کا یوزر shell، curl یا wget چلا رہا ہے تو یہ مشتبہ بات ہے۔ FBI کے مطابق مداخلت کے آثار ملیں تو سسٹم کو الگ کریں، لاگز محفوظ رکھیں اور FBI کے فیلڈ آفس یا ic3.gov کو اطلاع دیں۔
اگر آج اپڈیٹ ممکن نہ ہو؟
PHP نے php.net پر عارضی اقدامات شائع کیے ہیں۔ یہ خطرہ کم کرتے ہیں، ختم نہیں کرتے۔ Cloudflare کے فائر وال رولز کو اس کے اپنے CTO نے عارضی حل کہا ہے۔ FBI اور NSA کی ہدایت یہ ہے کہ مکمل حل تک سسٹم کو آف لائن کر دیں۔
اتنی توجہ کیوں ملی؟
جن ویب سائٹس کی سرور سائیڈ زبان معلوم ہے ان میں سے تقریباً 69 فیصد PHP استعمال کرتی ہیں، اور یہ خامی ہر CMS اور فریم ورک کے نیچے ہے۔ بیلجیم میں ایک میڈیا گروپ، ایک یونیورسٹی اور کئی ہسپتالوں نے احتیاطاً اپنی سائٹس بند کر دیں۔ کمپنیاں اب پیچ کی مدت گھنٹوں میں ناپ رہی ہیں، غیر سپورٹڈ PHP کو واقعہ سمجھ رہی ہیں اور سائٹ آف لائن کرنے کا تحریری منصوبہ بنا رہی ہیں۔
AI کہاں کام آتا ہے
رپورٹس کے مطابق محققین نے ان خامیوں کی تلاش میں AI ٹولز استعمال کیے۔ دفاع کرنے والے بھی یہی طریقہ اپنا سکتے ہیں۔ مثلاً Anthropic کے Claude Managed Agents میں multi-agent orchestration شامل ہے، یعنی ایک مرکزی ایجنٹ ورژن کی فہرست، ڈیپنڈنسی آڈٹ اور لاگ ریویو الگ الگ ایجنٹس کو دے کر ایک رپورٹ بنا سکتا ہے۔ ہر تبدیلی کی منظوری کوئی انسان دے۔ پروڈکٹ کی دستیابی بدلتی رہتی ہے، اس لیے Anthropic کی ڈاکس دیکھ لیں۔
عمومی سوالات
کیا WordPress اپڈیٹ کرنے سے مسئلہ ختم ہو جاتا ہے؟
نہیں۔ خامی PHP میں ہے، اس لیے PHP اپڈیٹ کرنا ضروری ہے۔
کیا Cloudflare کافی ہے؟
نہیں۔ یہ معروف حملوں میں مدد دیتا ہے مگر پیچ کا متبادل نہیں۔
PHP سیکیورٹی مزید کہاں سیکھوں؟
میں نے PHP کے تصورات، اصطلاحات اور مشقوں کا ایک ریفرنس بنایا ہے: Notion پر PHP Master Guide۔