इस हफ्ते एस्टोनिया में एक सुपरमार्केट के फ्रीजर का तापमान 50°C हो गया, और यह एक खराबी नहीं थी, बल्कि एक साइबर हमला था। रातभर में छह देश प्रभावित हुए। आयरलैंड के स्टोर्स ने अपनी सभी ठंडी चीजें हटा दीं, बेल्जियम में एक मांस का दुकानदार सैकड़ों किलो मांस फेंक दिया, और इनमें से कुछ व्यवसाय 2026 में भी डिफ़ॉल्ट पासवर्ड का उपयोग कर रहे थे। यही बात है जिसे लोग साइबर सुरक्षा के बारे में समझते नहीं हैं, यह अब केवल आपके क्रिप्टो या आपके पासवर्ड के बारे में नहीं है। कहीं किसी कमरे में बैठा कोई व्यक्ति एक लैपटॉप के साथ पूरे देश की खाद्य सप्लाई को खराब कर सकता है। अगला साइबर हमला आपका वॉलेट खाली नहीं करेगा, लेकिन यह आपका फ्रिज खाली कर सकता है।

कोई आपके चेहरे की प्रिंटेड फोटो के साथ आपका फोन अनलॉक कर सकता है, और अधिकांश लोग इसके बारे में नहीं जानते। अधिकांश Android फोन फेस अनलॉक के लिए एक बेसिक 2D कैमरा का उपयोग करते हैं, कोई इन्फ्रारेड नहीं, कोई डेप्थ सेंसिंग नहीं, केवल एक सपाट छवि मैच। वर्षों से शोधकर्ता साबित कर रहे हैं कि एक साधारण फोटो इसे बायपास करने के लिए पर्याप्त है। यही “सुरक्षा” आपके बैंकिंग ऐप्स, आपके क्रिप्टो वॉलेट, आपके सीड फ्रेज, आपके पूरे जीवन के सामने बैठी है। और हर बार जब आप इसका उपयोग करते हैं, तो आपका सामने का कैमरा आपके चेहरे का एक फ्रेम प्रोसेस करता है और इसे सिस्टम फोल्डर्स में स्थानीय रूप से स्टोर करता है, जिन्हें आपने कभी नहीं खोला है। यह एन्क्रिप्टेड नहीं है, सुरक्षित नहीं है, केवल वहीं पड़ा हुआ है। अगर आप किसी ऐसे डिवाइस पर फेस अनलॉक का उपयोग कर रहे हैं, जिसमें सही डेप्थ सेंसिंग नहीं है, तो आज ही अपने फिंगरप्रिंट या मजबूत PIN पर स्विच कर दें। आपका चेहरा वही पासवर्ड है, जिसे आप कभी रीसेट नहीं कर सकते।

जिस ऐप को आपने अपने खातों की सुरक्षा के लिए डाउनलोड किया है, वही आपके हैक होने का कारण हो सकता है। एंड्रॉइड पर माइक्रोसॉफ्ट ऑथेंटिकेटर में एक वल्नरेबिलिटी थी जिससे दुष्ट ऐप्स बिना किसी अनुमति के आपके कार्य खाते के एक्सेस टोकन चुरा सकते थे। यह एक ऐसा ऐप है जो आपके फोन पर बैठा है और जो कुछ भी चाहता है, वह कर रहा है। यह दोष ब्रोकर कंपोनेंट में था, जो मूलतः ऐप्स के बीच प्रमाणीकरण को संभालने वाला हिस्सा है। यह सही से जांच नहीं कर रहा था, इसलिए कोई भी यादृच्छिक ऐप आ सकता था और अपने ही होने के नाते आपके टोकन प्राप्त कर सकता था। माइक्रोसॉफ्ट ने पहले ही इसे पैच कर दिया है (CVE-2026-80097, CVSS 8.6, जो उच्च गंभीरता है), लेकिन अगर आपने हाल ही में अपना ऑथेंटिकेटर ऐप अपडेट नहीं किया है, तो आप अभी भी संकट में हो सकते हैं। यही वह हिस्सा है जो मुझे परेशान करता है। लोग ऑथेंटिकेटर ऐप्स स्थापित करते हैं क्योंकि उन्हें बताया जाता है कि यह सुरक्षित कदम है, और ऐसा ही है। लेकिन जब सुरक्षा उपकरण स्वयं में कोई छेद होता है, तो अधिकांश लोग कभी सोचते ही नहीं कि इसकी जांच करें। अपने ऐप्स को अपडेट करें। सिर्फ़ अपने फोन के OS को ही नहीं, बल्कि आपके सभी ऐप्स को।खासकर उन ऐप्स को,जिन पर सबसे अधिक भरोसा करते हैं। क्योंकि वेी हीऐप्स हैं,जिन परआपध्याननहींदेते।

मैंने कुछ दिनों पहले इंटरनेट पर हो रही बातों के बारे में एक पोस्ट की थी, और उसे 2.3 मिलियन व्यूज मिले। उसके बाद, यह और बुरा हो गया। उस ब्रोटली वल्नरेबिलिटी के बारे में, जिसे OpenAI ने अनजाने में खोजा? यह विकसित हो गई है। अब इसे HTTP2Shell कहा जा रहा है, और यह हर प्रमुख ब्राउज़र, हर ऑपरेटिंग सिस्टम, Discord, Slack, VSCode, 1Password जैसे ऐप्स को प्रभावित करता है। अभी तक सबके लिए फिक्स उपलब्ध नहीं हैं। Cloudflare के CEO ने कहा, “हर हफ्ते ऐसा महसूस होगा जैसे आसमान गिर रहा है।” Polymarket ने अभी-अभी एक बेटिंग पूल खोला है कि क्या इस महीने और प्रमुख कमजोरियाँ सामने आएंगी। हैकर्स ने AI मॉडल्स का उपयोग करके लैटिन अमेरिका के 400+ बैंकों पर एक साथ हमले किए। 24x7, कोई ब्रेक नहीं। X पर एक बग था, जहाँ आप केवल अपना फोन नंबर डालकर किसी अज्ञात के खाते में लॉगइन कर सकते थे। Keystone हार्डवेयर वॉलेट को उनके Shopify API के माध्यम से हैक किया गया, ग्राहकों के नाम और घर का पता सार्वजनिक हो गया। एक जापानी क्लाउड कंपनी ने 27,000 सर्वर्स खोए, और जापान ने पहली बार सैन्य-ग्रेड साइबर सुरक्षा सक्रिय की। अपना ब्राउज़र अपडेट करें। अपनेऐप्स को अपडेट करें। अपने पासवर्ड्स को बदलें। सबकहीं 2FA सक्रिय करें। अक्टूबर हमारे साथ अभी-अभी समाप्त हुआ है।

एक डेवलपर ने एक सर्वर पर $2,000 बिटकॉइन डाले और पूरे इंटरनेट को चुनौती दी कि वह इसे चुरा ले, जिसमें PHP वल्नरेबिलिटी थी। 17 घंटे बाद भी पैसा वहीं पर है। लोग सर्वर को क्रैश कर रहे हैं, लेकिन कोई भी वास्तव में एक्सप्लॉइट करने में सफल नहीं हुआ। क्या आप याद करते हैं जब मैंने मार्कस हचिंस के बारे में पोस्ट किया था, जिन्होंने GitHub पर सभी झूठे AI-जनरेटेड एक्सप्लॉइट्स को उजागर किया था? यही उसका सबूत है। वल्नरेबिलिटी वास्तविक है। लेकिन इसका वास्तविक रूप से उपयोग करना पूरी तरह से अलग कहानी है। $2,000 एक खराब सर्वर पर पड़े हुए हैं, और पूरा इंटरनेट इसे छू भी नहीं सकता।

एक एकल बग ने आपके हर ब्राउज़र, हर ऑपरेटिंग सिस्टम और आपके द्वारा उपयोग किए जाने वाले लगभग हर ऐप को हैक होने के खतरे में डाल दिया है। OpenAI द्वारा अपनी प्रणालियों के रेड-टेस्टिंग के दौरान अनजाने में पाया गया Brotli बग वल्नरेबिलिटी अब "node2shell" से आगे बढ़कर शोधकर्ताओं द्वारा HTTP2Shell कहलाने लगी है, और इसका प्रभाव क्षेत्र विशाल है। हम केवल एक लाइब्रेरी की बात नहीं कर रहे हैं। हम आपके हर प्रमुख ब्राउज़र—Chrome, Edge, Firefox—की बात कर रहे हैं। iOS सहित हर ऑपरेटिंग सिस्टम, Discord, Slack, VSCode, 1Password, Notion जैसे Electron ऐप्स, इमेज टूल्स, PDF रीडर्स, आर्काइव सॉफ़्टवेयर, AI डेस्कटॉप ऐप्स, यहाँ तक कि curl तक। मूलतः, अगर कोई चीज़ इंटरनेट से संपर्क करती है या संपीड़ित डेटा को प्रोसेस करती है, तो संभवतः यह प्रभावित है। मूल CVE-2026-111497 पहले से ही खराब था—दुष्ट संपीड़ित डेटा के माध्यम से प्रमाणीकरण के बिना रिमोट कोड निष्पादन। लेकिन अब इसका प्रभाव क्षेत्र लगभग हर चीज़ को कवर करने लगा है, जिसका आप प्रतिदिन उपयोग करते हैं। सभी प्रभावित सेवाओं के लिए अभी तक सुधार उपलब्ध नहीं हैं। अभी सब कुछ अपडेट करें। पहले ब्राउज़र, फिर डेस्कटॉप ऐप्स, फिर डेवलपमेंट टूल्स। अगर कुछ आज अपडेट प्रदान करता है, तो सवाल मत पूछिए, सिर्फ़ स्थापित करिए। इंटरनेट एक क्रैक्ड मूलधारा पर चल रहा है, और ये क्रैक्स अब काफी बड़े हो गए हैं।

इस आईटी वाले ने बस रात के 12 बजे पूरी कंपनी को रैनसमवेयर हमले से बचा लिया, और ये कहानी बेहद अजीब है भाई तो बस नेटफ्लिक्स देख रहा था कि उसका फोन सर्वर अलर्ट्स से पागलों की तरह बजने लगा। उसने रिमोटली कनेक्ट किया और देखा कि कंपनी के फाइल्स एक-एक करके अपने नाम बदल रहे हैं, सब कुछ अस्पष्ट, अर्थहीन हो रहा है इस आदमी ने अपनी कार की चाबियां पकड़ीं और पागलों की तरह ऑफिस की ओर भागा। 12:20 AM पर पहुंचा, पूरा अंधेरा, 40 पीसीज़ से हाथों से LAN केबल्स निकालते हुए, हाथ कांप रहे थे हर स्क्रीन पर रैनसम नोट? हमें 72 घंटों में आपका पूरा मासिक मुनाफा बिटकॉइन में भुगतान करें। उसके बॉस ने कॉल करके कहा, "बस भुगतान कर दो, हमें सोमवार को उन फाइल्स की जरूरत है" उसने कहा, "नहीं।" जो कंपनियां भुगतान करती हैं, उन्हें फिर से टारगेट किया जाता है बैकअप से पुनर्स्थापित करने की कोशिश की, पर बैकअप सर्वर पर भी हमला हो चुका था। समान नेटवर्क, समान रैनसमवेयर। उसका मन पूरी तरह से सफ़ेद हो गया लेकिन उसके पास एक आखिरी कार्ड था। हर बुधवार को, घर जाते समय, वह मैन्युअली कंपनी के डेटा को एक एक्सटर्नल हार्डड्राइव पर बैकअप करता था, और उसे अपनी मेज़ की ड्रॉअर में रखता था। एक आदत, जिसे वह लगभग स्टॉप करने हीवाला था क्योंकि यह समयबर्बाद महसूस होती थी उस मेज़ की ड्रॉअर में पड़ी हुई हार्डड्राइव पूरी कंपनी को सेव कर सकी उसने सप्ताहांत में सब कुछ पुनः स्थापित किया, सोमवार सुबह हर शिपमेंट सेंड हो गया। उसका बॉस हंसा और बोला, "मुझे खुशी है कि तुमने वो बिटकॉइन नहीं भेजा" अगले हफ्ते, मेज़ पर दो aur हार्डड्राइव्स पड़ीं जो boring habit कोई करना nahi chahta tha, wohi ekmatra cheez thi jo kaam aayi

ओपनएआई ने एक बग की खोज अनजाने में कर ली जो करोड़ों सर्वर्स को सुरक्षित नहीं रख सकता था, और वे इसकी तलाश में भी नहीं थे। वे अपने एआई मॉडल्स को प्रशिक्षण के दौरान इंटरनेट तक पहुँचने से रोकने की कोशिश कर रहे थे, और उनके लिए एक पूरा ऑफलाइन विश्व बना दिया। इस सेटअप का रेड-टीमिंग करते समय, उन्हें ब्रोटली में एक कमजोरी मिली, जो इंटरनेट पर सबसे अधिक उपयोग होने वाली संपीड़न पुस्तकालयों में से एक है। यह कमजोरी किसी हमलावर को किसी भी प्रभावित सिस्टम पर अपना कोड चलाने की अनुमति देती है, बस दुष्प्रयोगपूर्ण संपीड़ित डेटा भेजकर। किसी लॉगिन की आवश्यकता नहीं, किसी खाते की आवश्यकता नहीं। सिर्फ भेजें और आपका प्रवेश हो चुका होगा। ब्रोटली node.js, bun, envoy, और लगभग हर ऐसी चीज में समाहित है, जो संपीड़ित वेब ट्रैफ़िक को संभालती है। यह दोष तकनीकी रूप से फरवरी में सुधार कर दिया गया था, लेकिन उस समय किसी को पता नहीं था कि यह सुरक्षा समस्या है। इसलिए महीनों तक, पैच मौजूद था, लेकिन लगभग किसी ने इसे लागू ही नहीं किया, क्योंकि यह सामान्य अपडेट की तरह प्रतीत होता था। कभी-कभी सबसे सबसे डरावनी खोजें तब होती हैं, जब आप सचमुच कुछ भी नहीं ढूंढ़ रहे होते।

वे इसे "काला अक्टूबर" कह रहे हैं, और मुझे लगता है कि लोग इसकी गंभीरता को समझ नहीं पा रहे हैं पिछले 48 घंटों में 27 से अधिक प्रमुख साइबर सुरक्षा घटनाएँ हुई हैं। एक महीने में नहीं। एक सप्ताह में नहीं। केवल 48 घंटों में इनमें से कोई भी एक सामान्यतः वर्ष की सबसे बड़ी खबर होती PHP: वेब के 80% को चलाने वाले सॉफ्टवेयर में गंभीर विभेद। 10 में से 9.2 की गंभीरता Node.js: उच्च-गंभीर दोष जिससे हमलावर दूर से सर्वर पर कब्जा कर सकते हैं। संस्करण 22, 24, और 26 प्रभावित Java: भी संक्रमित। पृथ्वी पर सबसे अधिक उपयोग किए जाने वाले तीन प्रोग्रामिंग भाषाएँ एक साथ प्रभावित GitLab: 2014 से हर संस्करण में 10/10 की गंभीरता का छेद Railway: होस्टिंग प्लेटफॉर्म संक्रमित। OpenAI, Claude, Stripe की API कुंजियाँ संभवतः प्रकट हो गईं Signal: एक बग जो आपके माइक्रोफोन और कैमरा को हैंगअप के बाद भी चालू रख सकता है WordPress: हैकर्स ने एक प्लगइन निर्माता की कुंजियाँ चुन लीं और वेबसाइटों पर बैकडोर्स लगा दिए LiteLLM: एक AI टूल, जिसे प्रति दिन 3.4 मिलियन बार डाउनलोड किया जाता है, एक पासवर्ड स्टीलर के साथ संक्रमित कर दिया गया और यह सूची का आधे से कम है लगभग हजारों AI एजेंट स्वार्म्स को संदेह है कि वे अभी सुविधाजनक सर्वर्स को स्कैन कर रहे हैं और हमला कर रहे हैं। स्वचालित। 24x7 सुरक्षा शोधकर्ता कह रहे हैं कि यह संभवतः एक वैश्विक साइबर घटना के प्रारंभिक पड़ाव हो सकता है, जिसकी पूरी समझ अभी तक किसी को नहीं है अगर आपके पास कोई वेबसाइट है, क्लाउड सेवाओं का उपयोग करते हैं, होस्टिंग प्लेटफॉर्म पर API कुंजियाँ संग्रहित करते हैं, ya PHP, Node.js, ya Java पर बनाए गए कोई भी सॉफ्टवेयर का प्रयोग करते हैं, तो आप संभवतः प्रभावित हैं सब कुछ अपडेट करें। अपनी API कुंजियों को पुनः प्रदान करें। महत्वपूर्ण सेवाओं पर अपने पासवर्ड्स बदलें। 2FA सभी स्थानों पर सक्रिय करें, जहाँ आपने पहले से सक्रिय नहीं किया है इंटरनेट पर यह सामान्य सप्ताह नहीं है। यह कुछ अलग है

फिर से रेवोलुट भाई कुछ हफ्ते पहले, नाम, पते, पासपोर्ट फोटो और क्रिप्टो लेनदेन का इतिहास लीक होने वाली डेटा ब्रीच। पिछले हफ्ते, एक आदमी को उस लीक हुई डेटा के कारण $800K के लिए चाकू के बल से लूटा जा सकता था। और आज, मिलियनों उपयोगकर्ताओं को प्रभावित करने वाली सेवा विघटन। "आपका पैसा और डेटा सुरक्षित है" वे कहते हैं। अब तक, रेवोलुट को गलत कारणों से कितनी बार समाचारों में आना पड़ेगा, तब तक लोग गंभीर सवाल पूछना शुरू कर देंगे? आपका डेटा लीक होता है। आपकी सेवा बंद हो जाती है। और आपको सिर्फ "हम किसी भी परेशानी के लिए क्षमा चाहते हैं" मिलता है। $800K की डकैती कोई परेशानी नहीं है भाई