سکیورٹی
پی ایچ پی (PHP) سکیورٹی الرٹ (php2shell): کیا آپ کا کاروباری سافٹ ویئر محفوظ ہے؟
اکتوبر 2026 میں PHP نے، جس پر دنیا کی بہت سی ویب سائٹس چلتی ہیں، دو سنگین خامیاں ٹھیک کیں جنہیں php2shell کہا جاتا ہے۔ پاکستان میں بہت سے دکان، کھاتہ اور قسطوں کے سافٹ ویئر PHP پر چلتے ہیں۔ یہاں سادہ الفاظ میں بتایا گیا ہے کہ کیا ہوا، کاروباری ڈیٹا کے لیے یہ کیوں اہم ہے، اور اپنا سافٹ ویئر کیسے جانچیں۔
رانا یاسر علی، بانی اور سی ای او ·
اکتوبر 2026 میں کیا ہوا
21 اکتوبر 2026 کو PHP نے دو خامیوں کے فوری فکس جاری کیے: CVE-2026-109618 اور CVE-2026-109619۔ انہیں مل کر php2shell کہا جاتا ہے اور ان کی سنگینی 10 میں سے 9.2 ہے۔ Cloudflare کے مطابق PHP 5.4 یا اس کے بعد کے ورژن پر چلنے والے سرور متاثر ہیں۔
ایک خامی اس وقت کی ہے جب PHP کی میموری ختم ہو جائے؛ دوسری میں ایک غلطی کے بعد پرانی میموری کا حوالہ باقی رہ جاتا ہے اور اگلی درخواست پچھلی کا ڈیٹا دیکھ سکتی ہے۔ دونوں مل کر بغیر اکاؤنٹ والے حملہ آور کو سرور پر اپنا کوڈ چلانے یا پاس ورڈ جیسا ڈیٹا پڑھنے کا موقع دے سکتی ہیں۔
چند دنوں میں حملے شروع ہو گئے۔ درست ورژن یہ ہیں: 8.5.12، 8.4.27، 8.3.36 اور 8.2.35۔ PHP 8.1 اور پرانے ورژن کا کوئی سرکاری فکس نہیں آئے گا۔
23 اکتوبر کو PHP نے ایک تیسری، محدود خامی CVE-2026-115560 بتائی، جس کا فکس ابھی نہیں آیا۔
کاروباری ڈیٹا بلاگ سے مختلف کیوں ہے
ہیک ہونے والا بلاگ بیک اپ سے واپس آ سکتا ہے، مگر ایک بار پڑھا گیا کاروباری ڈیٹا واپس نہیں ہو سکتا۔ دکان، ڈسٹری بیوشن یا قسطوں کے کاروبار کے ڈیٹا بیس میں یہ ہوتا ہے:
- گاہک اور گارنٹر کے نام، شناختی کارڈ نمبر، فون اور پتے
- وصولی کے بقایا جات اور قسطوں کے شیڈول
- سپلائرز کے کھاتے، خریداری کے ریٹ اور منافع
- کیش، بینک اور اسٹاف کا ریکارڈ
اپنا سافٹ ویئر جانچنے کے چار طریقے
- 1اپنے سافٹ ویئر والے سے لکھ کر پوچھیں کہ PHP کا کون سا ورژن چل رہا ہے، اور کیا 21 اکتوبر 2026 کے بعد درست ورژن (8.2.35 یا نیا) پر اپ ڈیٹ ہوا۔
- 2جس پتے پر آپ لاگ ان کرتے ہیں وہ دیکھیں۔ اگر وہ .php پر ختم ہوتا ہے، تو آپ کا سافٹ ویئر PHP پر چلتا ہے — یہ بذاتِ خود غلط نہیں، مگر اپ ڈیٹ ضروری ہے۔
- 3اگر یہ شیئرڈ ہوسٹنگ یا cPanel پر ہے تو پوچھیں کہ PHP کون اپ ڈیٹ کرتا ہے۔ PHP 8.1 یا پرانا ہو تو کوئی سرکاری فکس نہیں؛ سسٹم کو نئے ورژن پر جانا ہوگا۔
- 4Cloudflare جیسا فائر وال مدد کرتا ہے، مگر خود Cloudflare اسے عارضی حل کہتا ہے۔ اصل حل PHP اپ ڈیٹ ہے۔ شک ہو تو پاس ورڈ بدلیں اور تازہ بیک اپ رکھیں۔
حساب میٹ
حساب میٹ پر php2shell کا اثر نہیں
حساب میٹ میں PHP یا WordPress کہیں استعمال نہیں ہوتا۔ یہ جدید، PHP کے بغیر سسٹم اور منظم PostgreSQL ڈیٹا بیس پر چلتا ہے، اس لیے php2shell کی خامیاں اس پر لاگو نہیں ہوتیں۔ اس کے علاوہ آپ کا ڈیٹا شروع سے محفوظ بنایا گیا ہے:
- ہر کاروبار کا ڈیٹا الگ، اور ہر بار ڈیٹا بیس خود چیک کرتا ہے
- اسٹاف کی اجازتیں ڈیٹا بیس کے اندر، صرف اسکرین پر نہیں
- ہر ادائیگی صرف ایک بار محفوظ؛ بل پورا محفوظ ہوتا ہے یا بالکل نہیں
- ڈیلیٹ ہونے والے بل، قیمت کی تبدیلی اور ہر صارف کے اندراج کا ریکارڈ
- ویب سائٹ، ایپ اور سرور کے درمیان محفوظ (HTTPS) رابطہ
- پرانے سافٹ ویئر سے آ رہے ہیں؟ آئٹمز اور کھاتے ایکسل سے لے آئیں
سوالات
کیا اکتوبر 2026 کی PHP خامی (php2shell) سے حساب میٹ کو کوئی خطرہ ہے؟
نہیں۔ حساب میٹ میں PHP یا WordPress بالکل استعمال نہیں ہوتا، اس لیے یہ خامی اس پر لاگو نہیں ہوتی۔ ہر کاروبار کا کھاتہ، اسٹاک اور قسطوں کا ریکارڈ الگ رہتا ہے۔
میرا سافٹ ویئر PHP پر چلتا ہے، اب کیا کروں؟
اپنے سافٹ ویئر والے سے لکھ کر پوچھیں کہ PHP کا کون سا ورژن چل رہا ہے اور کیا 21 اکتوبر 2026 کے بعد اپ ڈیٹ ہوا۔ PHP 8.1 یا پرانا ہو تو کوئی سرکاری فکس نہیں آئے گا۔