Binance کے بانی CZ نے انٹرنیٹ صارفین کو محتاط رہنے کی تنبیہ کی ہے، کیونکہ محققین نے PHP میں دو سنگین خامیاں دریافت کی ہیں جن پر فعال طور پر حملے جاری ہیں۔ یہ خامیاں WordPress اور Magento جیسے پلیٹ فارمز سمیت تقریباً 70 فیصد ویب سائٹس کو متاثر کر سکتی ہیں، جس نے اسے رواں سال کرپٹو اور وسیع تر انٹرنیٹ دونوں کے لیے سب سے بڑے سیکیورٹی واقعات میں شامل کر دیا ہے۔
یہ دراصل ہوا کیا
Binance کے بانی CZ نے 23 اکتوبر 2026 کو ایک پیغام جاری کر کے آنے والے دنوں میں ویب سائٹس وزٹ کرتے وقت احتیاط برتنے کی اپیل کی۔ ان کے مطابق PHP، جو WordPress اور Magento میں بڑے پیمانے پر استعمال ہوتا ہے، نے 21 اکتوبر 2026 کو دو سنگین خامیاں، CVE-2026-109618 اور CVE-2026-109619، ٹھیک کیں۔ تاہم باضابطہ اعلان سے پہلے ہی تفصیلات لیک ہو گئیں اور استحصال فوری طور پر شروع ہو گیا۔ Amazon کی تھریٹ انٹیلیجنس ٹیم نے سرکاری فکس سے پہلے، 17 اکتوبر 2026 ہی کو حملوں کی کوششیں دیکھ لی تھیں۔ Palo Alto Networks نے دنیا بھر میں 2 کروڑ 26 لاکھ سے زائد متاثرہ انسٹینسز شمار کیے۔ Wiz کے محققین کا اندازہ ہے کہ یہ خامیاں انٹرنیٹ کے تقریباً 70 فیصد حصے کو متاثر کر سکتی ہیں، اور ان کا کہنا ہے کہ اصل مسئلہ ایک دہائی سے زیادہ پرانا ہے۔ NCC Group کے Matt Hull نے WuBlockchain کے مطابق خبردار کیا کہ کچھ سسٹمز شاید پہلے ہی سمجھوتہ شدہ اور بیک ڈور زدہ ہو چکے ہیں۔
معاملہ یہاں تک کیسے پہنچا
Dragonfly کے مینیجنگ پارٹنر Haseeb Qureshi کا کہنا ہے کہ کرپٹو انٹرنیٹ کی وسیع تر دنیا سے پہلے ہیکنگ کی لہر کا سامنا کر رہا ہے، کیونکہ آن چین حملوں کو براہِ راست نقد میں تبدیل کرنا سب سے آسان ہے۔ ان کے مطابق حملوں کی تعداد میں نمایاں اضافہ ہوا ہے، مگر سالانہ نقصانات 2025 کے مقابلے میں تقریباً برابر ہیں، یعنی فی واقعہ اوسط نقصان کم ہوا ہے کیونکہ بڑے پروٹوکولز اب AI دفاعی نظام اپنا رہے ہیں۔ Ethereum کے شریک بانی Vitalik Buterin نے AI کی مدد سے خامیوں کی دریافت پر جاری بحث کے جواب میں کہا کہ انہیں کبھی توقع نہیں تھی کہ دفاع خودبخود حملہ آوروں سے آگے نکل جائے گا۔ ان کے مطابق پائیدار برتری کے لیے گہری تبدیلیاں درکار ہیں، جیسے فارمل ویریفیکیشن، اور انہوں نے WuBlockchain کے مطابق سائبر سیکیورٹی اور بائیو سیکیورٹی پر GDP کے 1 فیصد سے زائد خرچ کرنے پر زور دیا۔
یہ آپ کے لیے کیوں اہم ہے
کرپٹو صارفین کے لیے یہ ایک یاد دہانی ہے کہ زیادہ تر ہیکس سمارٹ کنٹریکٹس سے نہیں بلکہ عام ویب انفراسٹرکچر سے شروع ہوتے ہیں۔ والٹ انٹرفیس، ایکسچینج پورٹلز اور DeFi فرنٹ اینڈز اکثر PHP پر مبنی سسٹمز پر چلتے ہیں، اس لیے اَن پیچڈ سرورز کریڈینشلز یا سیڈ فریز کو خطرے میں ڈال سکتے ہیں۔ چھوٹے پروٹوکولز چلانے والے بلڈرز کو سب سے زیادہ خطرہ لاحق ہے، کیونکہ Qureshi کے مطابق حملہ آور اب کمزور سیکیورٹی بجٹ والے منصوبوں کو خاص طور پر نشانہ بنا رہے ہیں۔ AI سے چلنے والی نگرانی اپنانے والے بڑے پلیٹ فارمز کو فی واقعہ کم نقصان ہو سکتا ہے، لیکن چھوٹی ٹیمیں ابھی اس سطح کا مقابلہ نہیں کر سکتیں۔ جو کوئی بھی ذاتی ویب سائٹ، والٹ گیٹ وے یا کمپنی بلاگ چلا رہا ہے، اسے 21 اکتوبر والا پیچ انسٹال ہونے کی تصدیق کرنی چاہیے اور پرانے پلگ انز کو مستقبل کا نہیں بلکہ موجودہ خطرہ سمجھنا چاہیے۔
بڑا سوال
اگر AI حملہ آوروں اور دفاع کرنے والوں دونوں کو ایک ہی رفتار سے ایک جیسی خامیاں ڈھونڈنے میں مدد دے سکتا ہے، تو کیا بہتر ڈیٹیکشن واقعی حقیقی دنیا کے نقصان کو کم کرتی ہے، یا یہ محض دونوں فریقین کی رفتار تیز کر دیتی ہے؟ خود Buterin کی اس غیر یقینی صورتحال سے ظاہر ہوتا ہے کہ ماہرین کو بھی علم نہیں کہ جیسے جیسے یہ ٹولز کرپٹو اور وسیع تر انٹرنیٹ میں پھیلتے ہیں، فائدہ کس کو زیادہ ہو گا۔
آگے کیا دیکھنا ہے
سیکیورٹی ٹیمیں 2026 کے باقی حصے میں CVE-2026-109618 اور CVE-2026-109619 کے استحصال پر نظر رکھیں گی۔ ویب سائٹ آپریٹرز کو فوری طور پر 21 اکتوبر والے پیچ کی تصدیق کرنی چاہیے۔ اس کے علاوہ، OCC کا GENIUS ایکٹ کے تحت اسٹیبل کوائن یِلڈز پر پہلا قاعدہ 18 جنوری 2027 سے نافذ العمل ہو گا، جو اس بات کی یاد دہانی ہے کہ کرپٹو کی سیکیورٹی اور ریگولیٹری ٹائم لائنز اب ساتھ ساتھ چل رہی ہیں۔
