پی ایچ پی کیا ہے اور اس میں سامنے آنے والی خامی ہیکرز کو ’براہ راست‘ ڈیٹا بیس تک کیسے رسائی دے سکتی ہے؟

ایک دہائی سے بھی زیادہ عرصے تک انٹرنیٹ کے بڑے حصے کی بنیاد بننے والی ٹیکنالوجی سنگین خامیوں کے باوجود چلتی رہی اور کسی کو بھی اس کا پتا نہیں چلا۔

تاہم اب مصنوئی ذہانت کی جانب سے ان خامیوں کی نشاندہی کے بعد عالمی سطح پر سائبر سکیورٹی کا ہنگامی الرٹ جاری کرنا پڑا ہے۔

یہ کمزوریاں پی ایچ پی (PHP) نامی ایک پروگرامنگ لینگویج میں پائی گئیں، جو 2000 کی دہائی سے دنیا بھر میں ویب سائٹس بنانے کے لیے استعمال ہو رہی ہے۔

بدھ کے روز ان خامیوں کے انکشاف کے بعد سے دنیا بھر کی حکومتیں اور سائبر سکیورٹی ایجنسیاں اس کے ممکنہ اثرات پر قابو پانے کی کوششوں میں مصروف ہیں، اور ویب سائٹس چلانے والوں پر زور دے رہی ہیں کہ یا تو فوری طور پر جاری کیے گئے حفاظتی اپ ڈیٹس انسٹال کریں یا اپنی ویب سائٹس عارضی طور پر آف لائن کر دیں۔

ان کمزوریوں کا سراغ سائبر سکیورٹی کمپنی وز نے مصنوعی ذہانت کا استعمال کرتے ہوئے لگایا ہے اور وہ اسے اب تک دریافت ہونے والی ’سب سے سنگین‘ خامیاں قرار دیا ہیں۔

مصنوعی ذہانت کی فرم اوپن اے آئی کی ٹیکنالوجی ان خامیوں کو دریافت کرنے میں استعمال ہوئی ہیں۔ کمپنی کا کہنا ہے کہ اس انکشاف کو ’حالیہ برسوں میں سائبر سکیورٹی کے حوالے سے سب سے زیادہ اثر رکھنے والے مسائل میں سے ایک‘ قرار دیا گیا ہے۔

پی ایچ پی میں سامنے آنے والی خامی کیا ہے؟

بہت سے لوگوں نے شاید پی ایچ پی کا نام نہ سنا ہو، لیکن غالب امکان ہے کہ وہ روزانہ اس کے ذریعے چلنے والی ویب سائٹس اور سروسز استعمال کرتے ہوں گے۔

پی ایچ پی کا مکمل نام پی ایچ پی: ہائپرٹیکسٹ پری پورسیسر ہے۔ یہ ایک پروگرامنگ لینگویج ہے جسے بے شمار پلیٹ فارمز بشمول آن لائن خریداری کی ویب سائٹس، وکیپیڈیا اور ورڈپریس جیسی ویبسائٹس کو چلانے میں بنیادی کردار ادا کرتی ہے۔

خیال رہے ورڈپریس وہ کانٹینٹ مینجمنٹ سسٹم ہے جس پر بلاگز اور خبروں کی لاکھوں ویب سائٹس بنی ہوئی ہیں۔

گوریلا سائبر سکیورٹی کے چیف ایگزیکٹو پال سپین نے بی بی سی کو بتایا کہ جب آپ وکیپیڈیا جیسی کسی ویب سائٹ پر جاتے ہیں تو پی ایچ پی وہ کوڈ ہوتا ہے جو آپ کی مطلوبہ معلومات اکٹھی جمع کر کے انھیں ویب پر قابلِ مطالعہ شکل میں آپ کے سامنے پیش کرتا ہے۔

تاہم اب پی ایچ پی میں ایک ایسی خامی سامنے آئی ہے جس کے باعث سائبر حملے کرنے والے بغیر کسی تصدیق کے متاثرہ ویب سرورز کا کنٹرول حاصل کر سکتے ہیں اور حساس معلومات چوری کر سکتے ہیں۔ اس کے نتیجے میں پی ایچ پی پر بنی تمام سروسز اور ویب سائٹس خطرے کی زد میں آ گئی ہیں۔

پال سپین کے مطابق مصنوعی ذہانت ایسے حملوں کو زیادہ آسان اور تیز بنا سکتی ہے، اور ان کے اندازے کے مطابق اس ’خامی سے لاکھوں نہیں بلکہ کروڑوں‘ ویب سائٹس متاثر ہو سکتی ہیں۔

یونیورسٹی آف ایڈیلیڈ سے وابستہ سائبر سکیورٹی محقق جل سلے کے مطابق اگر ہیکرز یا ریاستیں اس خامی کو ہتھیار کے طور پر استعمال کرتے ہوئے ویب سائٹس سے نجی معلومات حاصل کرنے لگیں تو اس کے نتائج ’تباہ کن‘ ہو سکتے ہیں۔

کون سی ویب سائٹس متاثر ہوئیں؟

اس سکیورٹی الرٹ کے نتیجے میں عالمی سطح پر مختلف آن لائن خدمات متاثر ہوئی ہیں جن میں گیمنگ پلیٹ فارمز، سرکاری پورٹلز اور آن لائن فورمز شامل ہیں۔

ان متاثرہ اداروں میں وکی میڈیا بھی شامل ہے، جو آن لائن انسائیکلوپیڈیا کا نگران ادارہ ہے۔ احتیاطی اقدام کے تحت وکی میڈیا نے اپنے متعدد سسٹمز عارضی طور پر بند کر دیے۔

اس کے علاوہ فن لینڈ کی حکومت، ایڈنبرا کی کونسل اور بی بی سی نے اپنی بعض ویب سائٹس اور صفحات عارضی طور پر آف لائن کر دیے، جبکہ نیدرلینڈز کی سائبر سکیورٹی ایجنسی نے بھی احتیاطاً اپنی ویب سائٹ بند کر دی۔

سکاٹ لینڈ کے متعدد سرکاری اداروں، جن میں مقامی کونسلیں اور صحت کے ادارے شامل ہیں، نے بھی اپنی ویب سائٹس عارضی طور پر آف لائن کر دی ہیں۔

کچھ ماہرین نے خبردار کیا ہے کہ اس کمزوری کے باعث ان ویب سائٹس کو زیادہ خطرہ لاحق ہو سکتا ہے جن کی دیکھ بھال مناسب انداز میں نہیں کی جاتی، خصوصاً چھوٹے اداروں کی ویب سائٹس، جن کے پاس سائبر سکیورٹی کے مناسب وسائل نہیں ہوتے۔

یونیورسٹی آف نیو ساؤتھ ویلز سڈنی سے وابستہ سائبر سکیورٹی کے محقق سلیل کانہیرے کا کہنا ہے کہ آنے والے ہفتوں میں ان خامیوں سے فائدہ اٹھانے کی مزید کوششوں کا امکان ہے کیونکہ اب ان کی تکنیکی تفصیلات عام کی جا رہی ہیں۔

خامیوں کے انکشاف کے بعد کیا ہوا؟

بدھ کے روز پی ایچ پی کے ڈویلپرز نے ان خامیوں کو دور کرنے کے لیے سکیورٹی اپ ڈیٹس جنھیں پیٹچز (patches) جاری کیے۔ یہ خامیاں کئی برسوں سے سافٹ ویئر میں موجود تھیں۔

کمپنی کا کہنا ہے کہ ’تمام پی ایچ پی صارفین کو مشورہ دیا جاتا ہے کہ وہ فوری طور پر اپ ڈیٹ کریں۔‘

دنیا بھر کی حکومتی اور سائبر سکیورٹی تنظیموں کی جانب سے بھی ویب سائٹ آپریٹرز کو اپنی سروسز محفوظ بنانے کے لیے اسی نوعیت کی وارننگز جاری کی گئی ہیں۔

امریکی نیشنل سکیورٹی ایجنسی (این ایس اے) نے پی ایچ پی استعمال کرنے والے تمام اداروں کو ہدایت کی ہے کہ اگر وہ فوری طور پر حفاظتی اپ ڈیٹس نصب نہیں کر سکتے تو اپنے نظام عارضی طور پر بند کر دیں۔ ادارے نے متنبہ کیا کہ یہ خامی کسی نظام کے ڈیٹا بیس تک رسائی حاصل کرنے کا ’براہ راست راستہ‘ فراہم کر سکتی ہے۔

این ایس اے کا کہنا ہے کہ ’یہ خطرات اتنے سنگین ہیں کہ امریکہ کی سرکاری وزارتوں اور اداروں میں فوری طور پر اپ ڈیٹس نصب کرنا ضروری ہے۔‘

برطانیہ کے نیشنل سائبر سکیورٹی سینٹر نے بھی اسی طرح کا مشورہ دیا اور اداروں سے کہا کہ وہ یہ بھی چیک کریں کہ کہیں ہیکرز نے ان کے نظام میں کوئی ’بیک ڈور‘ تو نصب نہیں کر دیا۔

یورپی یونین، سنگاپور اور آسٹریلیا میں متعلقہ سائبر سکیورٹی اداروں نے بھی اسی نوعیت کے انتباہات جاری کیے ہیں۔

جاپان کی وزیرِ اعظم سانائے تاکائیچی نے عوام اور اداروں پر زور دیا کہ وہ جانچ کریں کہ آیا ان کی عوامی رسائی والی ویب سائٹس پی ایچ پی پر چل رہی ہیں یا نہیں۔

سانائے تاکائیچی نے سوشل میڈیا پلیٹ فارم ایکس پر لکھا کہ ’اگر سکیورٹی پیچ فوری طور پر انسٹال کرنا مشکل ہو تو خطرات کو کم کرنے کے لیے ویب سائٹس کو عارضی طور پر بند کرنا اور اسی نوعیت کے دیگر اقدامات مؤثر ثابت ہو سکتے ہیں۔‘

دوسری جانب ٹیکنالوجی کمپنیاں بھی اپنے نظام محفوظ بنانے کی کوشش میں لگی ہوئی ہیں۔

ای کامرس کی بڑی کمپنی ایمازون کا کہا ہے کہ ہی ایچ پی کی خامیاں عوامی طور پر سامنے آنے سے کئی دن قبل اس کے نظام پر متعدد حملے کی کوششیں کی گئی تھیں۔

فی الحال یہ واضح نہیں ہو سکا کہ ممکنہ حملہ آوروں کو اس کمزوری کے بارے میں پیشگی علم کیسے ہوا تھا۔

مصنوعی ذہانت کیسے خامیاں تلاش کرنے میں مدد کر رہی ہے؟

یہ کمزوریاں سکیورٹی کمپنیوں کیلف اور وز کے محققین نے دریافت کیں۔

محققین نے جدید مصنوعی ذہانت پر مبنی ایسے ٹولز استعمال کیے جو کمپیوٹر کوڈ کا تجزیہ کر سکتے ہیں اور انسانوں یا پرانے نظاموں کے مقابلے میں کہیں زیادہ تیزی سے خامیوں کی نشاندہی کر سکتے ہیں۔

سلیل کانہیرے کا کہنا ہے کہ ’جدید سافٹ ویئر انتہائی پیچیدہ ہوتا ہے اور بعض کمزوریاں برسوں تک پوشیدہ رہ سکتی ہیں۔‘

انھوں نے بتایا کہ بنیادی خامیاں نئی نہیں تھیں، اصل تبدیلی یہ تھی کہ اب ہمارے پاس انھیں تلاش کرنے کی بہتر صلاحیت موجود ہے۔

اس دریافت کی تفصیلات رواں ہفتے آن لائن منظرِ عام پر آ گئی تھیں جس کے بعد پی ایچ پی کے ڈویلپرز کو سکیورٹی خامی اور اس کی وسعت سے متعلق اعلان جلدی میں جاری کرنا پڑا۔

اوپن اے آئی نے ایک بلاگ پوسٹ میں کہا ہے کہ یہ واقعہ اس بات کو اجاگر کرتا ہے کہ ’مصنوعی ذہانت سکیورٹی خامیوں کو بے نقاب کر سکتی ہے‘۔ تاہم کمپنی کا ساتھ یہ بھی کہنا ہے کہ اے آئی ’حملہ آوروں کو جارحانہ نوعیت کے ٹولز اور ایکسپلائٹس تیزی سے تیار کرنے میں مدد فراہم کر سکتی ہے۔‘

لوگ اپنے طور پر کیا حفاظتی اقدامات کر سکتے ہیں؟

ویب سائٹس چلانے والوں پر زور دیا جا رہا ہے کہ وہ اپنی ویب سائٹس کو پی ایچ پی کے تازہ ترین ورژن پر اپ ڈیٹ کریں۔

گوریلا سائبر سکیورٹی کے سی ای او پال سپین کے مطابق، پی ایچ پی کا سکیورٹی بیشتر ٹیکنالوجی ٹیموں کے لیے ایک معمول کا اور چھوٹا سا اپ ڈیٹ ہے۔

امریکی نیشنل سکیورٹی ایجنسی نے آئندہ ہفتوں کے دوران ’غیر معمولی طور پر چوکنا رہنے‘ اور سافٹ ویئر فراہم کرنے والی کمپنیوں کی جانب سے جاری ہونے والی اپ ڈیٹس پر گہری نظر رکھنے کا مشورہ دیا ہے۔

ایجنسی کا کہنا ہے کہ ان نظاموں سے متعلق پیچز کو بروقت انسٹال کرنے کے ہمہ وقت خبردار رہنا انتہائی اہم ہے۔

سلیل کانہیرے کے مطابق بنیادی ذمہ داری ویب سائٹس چلانے والے اداروں پر عائد ہوتی ہے، تاہم صارفین کو بھی متاثرہ سروسز کی جانب سے جاری کیے جانے والے سکیورٹی مشوروں پر نظر رکھنی چاہیے، مثلاً اگر انھیں پاس ورڈ تبدیل کرنے کی ہدایت دی جائے۔

انھوں نے یہ بھی خبردار کیا کہ لوگ ایسے فشنگ پیغامات سے محتاط رہیں جو اس واقعے کی تشہیر اور خبروں کا فائدہ اٹھا کر صارفین کو دھوکہ دینے کی کوشش کر سکتے ہیں۔