سیکورٹی محققین وسیع پیمانے پر استعمال ہونے والے ویب سرور مینجمنٹ سوفٹ ویئر cPanel اور WebHost Manager (WHM) میں ایک نئے دریافت شدہ خطرے پر خطرے کی گھنٹی بجا رہے ہیں۔
یہ بگ ہیکرز کو متاثرہ سافٹ ویئر چلانے والے سرورز کو ہائی جیک کرنے اور مکمل کنٹرول حاصل کرنے کی اجازت دیتا ہے، جس کے بارے میں خیال کیا جاتا ہے کہ دنیا بھر میں لاکھوں ویب سائٹ مالکان استعمال کرتے ہیں۔
بہت سی تجارتی ویب ہوسٹنگ کمپنیوں نے اپنے صارفین کے سسٹم کو پہلے ہی پیچ کر دیا ہے۔ لیکن cPanel بنانے والے نے صارفین پر زور دیا کہ وہ اس بات کو یقینی بنائیں کہ ان کے سسٹمز کو پیچ کیا گیا ہے کیونکہ بگ سافٹ ویئر کے تمام معاون ورژنز کو متاثر کرتا ہے۔
cPanel اور WHM دو سافٹ ویئر سویٹس ہیں جو ویب سرورز کے انتظام کے لیے استعمال ہوتے ہیں جو ویب سائٹس کی میزبانی کرتے ہیں، ای میلز کا نظم کرتے ہیں، اور انٹرنیٹ ڈومین کو برقرار رکھنے کے لیے درکار اہم کنفیگریشنز اور ڈیٹا بیس کو ہینڈل کرتے ہیں۔ دونوں سویٹس کو ان سرورز تک گہری رسائی حاصل ہے جن کا وہ انتظام کرتے ہیں، جس سے ایک بدنیتی پر مبنی ہیکر متاثرہ سافٹ ویئر کے زیر انتظام ڈیٹا تک ممکنہ طور پر غیر محدود رسائی کی اجازت دیتا ہے۔
بگ، جسے باضابطہ طور پر CVE-2026-41940 کے طور پر ٹریک کیا گیا ہے، نقصان دہ ہیکرز کو سافٹ ویئر کے ایڈمنسٹریشن پینل تک مکمل رسائی حاصل کرنے کے لیے اس کی لاگ ان اسکرین کو دور سے بائی پاس کرنے کی اجازت دیتا ہے۔
پوری ویب ہوسٹنگ انڈسٹری میں cPanel اور WHM سافٹ ویئر کی ہر جگہ کو دیکھتے ہوئے، ہیکر ممکنہ طور پر بڑی تعداد میں ایسی ویب سائٹس سے سمجھوتہ کر سکتے ہیں جنہوں نے بگ کو ٹھیک نہیں کیا ہے۔
کینیڈا کی قومی سائبرسیکیوریٹی ایجنسی نے ایک ایڈوائزری میں کہا ہے کہ اس بگ کا فائدہ مشترکہ ہوسٹنگ سرورز جیسے بڑی ویب ہوسٹنگ کمپنیوں پر ویب سائٹس سے سمجھوتہ کرنے کے لیے کیا جا سکتا ہے۔
ایجنسی نے کہا کہ "استحصال کا بہت زیادہ امکان ہے" اور یہ کہ cPanel کے صارفین، یا ان کے ویب میزبانوں کی طرف سے فوری کارروائی، بدنیتی پر مبنی رسائی کو روکنے کے لیے ضروری ہے۔
ویب ہوسٹنگ کمپنی Namecheap، جو اپنے صارفین کو اپنے ویب سرورز کو منظم کرنے کی اجازت دینے کے لیے cPanel کا استعمال کرتی ہے، نے کہا کہ کمپنی نے استحصال کو روکنے کے لیے خامیوں کے بارے میں جاننے کے بعد صارفین کے cPanel پینلز تک رسائی کو روک دیا، اور اسے اپنے صارفین کے سسٹمز کو پیچ کرنے کے لیے وقت دینے کے لیے۔
ہوسٹ گیٹر نے یہ بھی کہا کہ اس نے اپنے سسٹمز کو ٹھیک کر دیا ہے اور اس مسئلے کو ایک "اہم تصدیقی بائی پاس استحصال" پر غور کر رہا ہے۔
ایک ویب ہوسٹنگ کمپنی کا کہنا ہے کہ اسے شواہد ملے ہیں کہ ہیکرز کوششوں کے دریافت ہونے سے پہلے مہینوں تک اس خطرے کا غلط استعمال کر رہے تھے۔
KnownHost کے سی ای او ڈینیئل پیئرسن نے Reddit پر ایک پوسٹ میں کہا کہ ان کی کمپنی نے 23 فروری تک اس کمزوری سے فائدہ اٹھانے کی کوششیں دیکھی ہیں۔ کمپنی نے کہا کہ اس نے پیچ لگانے سے پہلے کسٹمر سسٹم تک رسائی کو مختصر طور پر روکنا بھی شروع کر دیا ہے۔
پیئرسن کے مطابق، KnownHost کے تقریباً 30 سرورز نے اس کے نیٹ ورک پر موجود ہزاروں کمپیوٹرز میں سے غیر مجاز رسائی کی کوشش کی نشانیاں دکھائیں۔ پیئرسن نے کوششوں کو کوششوں سے تشبیہ دی، اور فعال سمجھوتہ کے آثار نہیں دیکھے۔ cPanel نے یہ بھی کہا کہ اس نے WP Squared کے لیے ایک سیکیورٹی فکس تیار کیا ہے، جو کہ ورڈپریس ویب سائٹس کے انتظام کے لیے ایک ایسا ہی ٹول ہے۔
