اس ہفتے ایسٹونیا میں ایک سوپر مارکیٹ کا فریزر 50°C تک پہنچ گیا، اور یہ کوئی خرابی نہیں تھی، یہ ایک سائبر حملہ تھا۔ چھ ممالک کو رات بھر میں نشانہ بنایا گیا۔ آئرلینڈ کے اسٹورز نے اپنا تمام ٹھنڈا کھانا نکال دیا، بلجئم کے ایک ماسٹر نے سینکڑوں کلو گرام گوشت فضلہ بنادیا، اور ان میں سے کچھ کاروبار اب بھی 2026 میں ڈیفالٹ پاس ورڈز استعمال کر رہے تھے۔ سائبر سیکورٹی کے بارے میں لوگ جو سمجھتے نہیں، وہ یہ ہے کہ اب یہ صرف آپ کے کرپٹو یا آپ کے پاس ورڈز کے بارے میں نہیں رہ گیا۔ کسی کو بھی کہیں ایک کمرے میں بیٹھ کر ایک لیپ ٹاپ سے پورے ملک کی خوراک کی فراہمی خراب کر سکتا ہے۔ اگلا سائبر حملہ آپ کا والٹ خالی نہیں کرے گا، شاید آپ کا فرِج خالی کر دے۔

کسی کو آپ کے چہرے کی پرنٹڈ فوٹو کے ذریعے آپ کا فون انلاک کر سکتا ہے، اور زیادہ تر آپ کو اس بات کا علم بھی نہیں۔ زیادہ تر اینڈرائیڈ فونز فیس انلاک کے لیے ایک بنیادی 2D کیمرہ استعمال کرتے ہیں، کوئی انفراریڈ نہیں، کوئی ڈیپتھ سینسنگ نہیں، صرف ایک س平 تصویر کا مطابقت۔ ماہرین نے سالوں تک ثابت کیا ہے کہ ایک سادہ فوٹو اسے دور کرنے کے لیے کافی ہے۔ یہی “سیکورٹی” آپ کے بینکنگ ایپس، آپ کے کرپٹو والٹس، آپ کی خفیہ عبارتیں، آپ کی پوری زندگی کے سامنے بیٹھی ہے۔ اور جب بھی آپ اس کا استعمال کرتے ہیں، تو آپ کا فرنٹ کیمرہ آپ کے چہرے کا ایک فریم پروسس کرتا ہے اور اسے سسٹم فولڈرز میں مقامی طور پر محفوظ کر دیتا ہے جنہیں آپ نے کبھی نہیں کھولا۔ نہ تو اس کا انجم شدہ ہے، نہ حفاظت کی گئی ہے، صرف وہاں بیٹھا ہوا ہے۔ اگر آپ فیس انلاک کا استعمال کر رہے ہیں تو جس چیز میں مناسب ڈیپتھ سینسنگ والی فلگشپ نہ ہو، تو آج ہی انگلی کا نشان یا مضبوط پن استعمال کرنا شروع کر دیں۔ آپ کا چہرا وہ واحد پاس ورڈ ہے جسے آپ کبھی ری سیٹ نہیں کر سکتے۔

جس ایپ کو آپ نے اپنے اکاؤنٹس کے تحفظ کے لیے ڈاؤن لوڈ کیا، وہی آپ کے ہیک ہونے کا سبب بن سکتی ہے۔ انڈرائیڈ پر مائیکروسافٹ آتھنٹیکیٹر میں ایک کمزوری تھی جس کی وجہ سے خراب ایپس بغیر کسی اجازت کے آپ کے ورک اکاؤنٹ کے ایکسیس ٹوکن چوری کر سکتی تھیں۔ یہ ایک ایپ ہے جو آپ کے فون پر بیٹھ کر جو چاہتی ہے وہ کر رہی ہے۔ یہ خامی بروکر کمپوننٹ میں تھی، جو ایپس کے درمیان تصدیق کو سنبھالتا ہے۔ اس نے درست طریقے سے جانچ نہیں کی، اس لیے کوئی بھی بے ترتیب ایپ آ سکتی تھی اور آپ کے ٹوکنز کو اس طرح چھین لینا جیسے وہ ان کے مالک ہوں۔ مائیکروسافٹ نے اسے پچ کر دیا ہے (CVE-2026-80097، CVSS 8.6 جو اعلیٰ شدت کا ہے) لیکن اگر آپ نے اپنے آتھنٹیکیٹر ایپ کو حال ہی میں اپ ڈیٹ نہیں کیا ہے تو آپ اب بھی خطرے میں ہو سکتے ہیں۔ اس بات پر میرا توجہ مرکوز ہوتا ہے۔ لوگ آتھنٹیکیٹر ایپس ڈاؤن لوڈ کرتے ہیں کیونکہ انہیں بتایا جاتا ہے کہ یہ محفوظ طریقہ ہے، اور واقعی یہ اس طرح بھی ہے۔ لیکن جب سیکورٹی ٹول خود میں ایک خامی رکھتا ہے، تو زیادہ تر لوگ اس کا جائزہ لینے کا خيال بھي نہیں کرتے۔ اپنی ایپس کو اپ ڈیٹ کریں۔ صرف آپ کا فون آپریٹنگ سسٹم نہीں، بلکہ آپ کی تمام ایپس بھی۔ خاص طور پر وہ ایپس جن پر آپ سب سے زائد بھروسہ کرتے ہیں۔ کیونکہ وہی ایپس ہوتی ہیں جن پر آپ توجہ دینا بند کر دेतے ہیں۔

میں نے کچھ دن پہلے انٹرنیٹ پر ہونے والی باتوں کے بارے میں ایک پوسٹ شیئر کی اور اسے 2.3 ملین ویوز مل گئے۔ اس کے بعد، صورتحال بدتر ہو گئی۔ اوپن ای آئی نے جو بروٹلی کمزوری کاشف کی تھی، وہ ترقی کر چکی ہے۔ اب اسے HTTP2Shell کہا جا رہا ہے اور یہ ہر بڑا براؤزر، ہر آپریٹنگ سسٹم، ایپس جیسے ڈسکورڈ، سلاک، ویسیوڈی ایس، 1پاس ورڈ کو متاثر کرتا ہے۔ ابھی تک سب کے لیے فکس دستیاب نہیں ہوئے۔ کلاڈفلیر کے سی ای او نے کہا، “ہر ہفتہ لگے گا جیسے آسمان گر رہا ہو۔” پولی مارکیٹ نے اس ماہ مزید بڑی کمزوریوں کا انکشاف ہونے کے بارے میں بیٹنگ کا میدان کھول دیا ہے۔ ہیکرز نے AI ماڈلز کا استعمال کرتے ہوئے لاطینی امریکہ کے 400 سے زائد بینکوں پر ایک ساتھ حملہ کر دیا۔ مسلسل، بروز و رات، کوئی رخصت نہیں۔ ایکس پر ایک خرابی تھی جس میں آپ صرف اپنا فون نمبر درج کرکے کسی اجنبی کے اکاؤنٹ میں لاگ ان ہو سکتے تھے۔ کیستون ہارڈویر والٹ کو ان کے شاپفائند API کے ذریعے بریک کر لیا گیا، صارفین کے نام اور گھر کا پتہ لیک ہو گئے۔ ایک جاپانی کلاؤڈ کمپنی نے 27,000 سرورز کھو دئیے اور جاپان نے پہلی بار فوجی سطح کی سائبر دفاع فعال کر دی۔ اپنا براؤزر اپ ڈیٹ کریں۔ اپنی ایپس اپ ڈیٹ کریں۔ اپنے پاس ورڈز تبدیل کریں۔ 2FA سب جگہ آن کر دیں۔ اکتوبر ہمارے ساتھ ابھی ختم نہیں ہوا۔

ایک ڈیولپر نے صرف 2,000 امریکی ڈالر بٹ کوائن ایک سرور پر ڈال دیے جس میں PHP کی کمزوری تھی اور پورے انٹرنیٹ کو چیلنج کر دیا کہ وہ اسے چھین لیں۔ 17 گھنٹے بعد بھی پیسہ وہیں پڑا ہے۔ لوگ سرور کو کریش کر رہے ہیں، لیکن کوئی بھی اصل میں اس کمزوری کا استعمال نہیں کر پا رہا۔ کیا تم یاد کرتے ہو جب مارکس ہچنز نے گٹھب پر تمام جعلی AI جنریٹڈ ایکسپلوٹس کو نکال دیا تھا؟ یہی اس کا ثبوت ہے۔ کمزوری حقیقی ہے۔ لیکن اسے عملی طور پر استعمال کرنا بالکل الگ کہانی ہے۔ 2,000 امریکی ڈالر ایک خراب سرور پر بیٹھے ہوئے ہیں، اور پورا انٹرنیٹ ان تک نہیں پہنچ سکا۔

ایک واحد بگ نے آپ کے استعمال کیے جانے والے ہر براؤزر، ہر آپریٹنگ سسٹم، اور تقریباً ہر ایپ کو ہیک ہونے کے خطرے میں ڈال دیا ہے۔ اوپن اے آئی نے اپنے اپنے سسٹمز کے ریڈ ٹیمنگ کے دوران جو بروٹلی بگ کی کمزوری دریافت کی، وہ اب "نوڈ2شیل" سے آگے بڑھ کر تحقیق کاروں کے لیے "ایچ ٹی ٹی پی2شیل" کہلائی جا رہی ہے، اور اس کا اثر وسیع ہے۔ ہم صرف ایک لائبریری کے بارے میں بات نہیں کر رہے۔ ہم آپ کے استعمال کرنے والے ہر بڑے براؤزر، کروم، ایج، فائر فاکس کے بارے میں بات کر رہے ہیں۔ iOS سمیت ہر آپریٹنگ سسٹم، ایلیکٹران ایپس جیسے ڈسکورڈ، سلاک، وی ایس کوڈ، 1پاس ورڈ، نوشن۔ تصویر ٹولز، پی ڈی ایف ریدرز، آرکائیو سافٹ ویئر، اے آئی دسک ٹاپ ایپس، حتیٰ کہ کرل تک۔ بنیادی طور پر، اگر کوئی چیز انٹرنیٹ سے جُڑتی ہو یا دبائے گئے ڈیٹا کو سنبھالتی ہو، تو اس پر اثر پڑا ہوگا۔ اصل CVE-2026-111497 پہلے ہی خراب تھا — مضر دبائے گئے ڈیٹا کے ذریعے پہلے سے تصدیق نہ ہونے والی ريموٹ کوڈ اجرا۔ لیکن اب دائرہ کار تقریباً ہر اس چیز تک پھیل گیا ہے جو آپ روزانہ استعمال کرتے ہیں۔ تمام متاثرہ سروسز کے لیے اب تک فکس دسترس نہیں ہیں۔ ابھی فوراً سب کچھ اپڈیٹ کر دیں۔ پہلے براؤزر، پھر دسک ٹاپ ایپس، پھر ترقیاتي ٹولز۔ اگر آج کوئی چیز اپڈیٹ پر موجود ہو، تو سوالات نہ پوچھیں، صرف انسٹال کر دیں۔ انٹرنیٹ اب ایک دراز بنائے گئے بنیاد پر چل رہا ہے، اور دراز اب بہت زائد بڑھ گئے ہیں۔

یہ آئی ٹی والا صرف ایک رات کے بیچ میں ایک پوری کمپنی کو رینسوم ویئر حملے سے بچا گیا، اور یہ کہانی بے حد عجیب ہے۔ بھائی بالکل نیٹفلکس دیکھ رہا تھا جب اس کا فون سرور ایلرٹس کے ساتھ پاگل کی طرح بجنا شروع ہو گیا۔ اس نے ریموٹلی کنکٹ کیا اور دیکھا کہ کمپنی کے فائلز ایک ایک کر کے اپنا نام بدل رہے ہیں، سب کچھ گڑبڑ والے احروف میں تبدیل ہو رہا ہے۔ اس آدمی نے اپنی گاڑی کی چابیاں اٹھائیں اور پاگل کی طرح دفتر کی طرف دوڑا۔ وہ 12:20 بجے پہنچا، مکمل تاریکی، 40 پی سیز سے ہاتھوں سے لین کیبل نکالتا گیا، جبکہ اس کے ہاتھ کانپ رہے تھے۔ ہر اسکرین پر رینسوم نوٹ؟ ہمارے پاس اپنا مکمل ماہانہ منافع بٹ کوائن میں 72 گھنٹوں کے اندر ادا کر دو۔ اس کا بوس فون کر کے بولا، صرف ادا کر دو، ہمیں منگل کو ان فائلز کی ضرورت ہے۔ اس نے نہ کہا۔ جو کمپنیاں ادا کرتی ہیں، ان پر دوبارہ حملہ ہوتا ہے۔ بیک اپ سے ریسٹور کرنے کی کوشش کی، لیکن بیک اپ سرور بھی متاثر ہو چکا تھا۔ اسی نیٹ ورک، اسی رینسوم ویئر سے۔ بھائی نے بتایا کہ اس کا دماغ مکمل طور پر خالی ہو گیا۔ لیکن اس کے پاس ابھی ایک آخری آپشن تھا۔ ہر بدھ کو اپنے گھر جاتے وقت وہ مینوال طور پر کمپنی کے ڈیٹا کو ایک باہری ہارڈ ڈرائو پر بیک اپ کرتا تھا اور اسے اپنے ڈسک ڈراور میں رکھ دیتا تھا۔ اس عادت کو وہ تقریباً چھوڑ دینا چاہتا تھا کیونکہ اسے لگتا تھا کہ یہ وقت ضائع کرنا ہے۔ اس ڈراور میں پڑے ہارڈ ڈرائو نے پوری کمپنی بچا لی۔ اس نے سارا نظام ویک انڈ میں دوبارہ تعمیر کر لیا، منگل صبح تمام شپمنٹس نکل گئیں۔ اس کا بوس ہنس پڑا اور بولا، "میرا خوش ہونا چاہئے کہ تم نے وہ بٹ کوائن نہ بھجواۓ۔" اگلے ہفتے اس کے ڈسک پر دو اور ہارڈ ڈرائوز آ گئے۔ جو بورن عادت کسی کو بھی نہیں کرنی چاہتی، وہ واحد چيز تھی جو حقیقت میں kaam ki.

اوپن اے آئی نے ایک خرابی کا پتہ لگا لیا جو ملیونوں سرورز کو خطرے میں ڈال سکتی تھی اور وہ اس کی تلاش میں نہیں تھے وہ اپنے AI ماڈلز کو تربیت کے دوران انٹرنیٹ تک رسائی سے روکنے کی کوشش کر رہے تھے، اور ان کے لیے ایک پورا آف لائن دنیا تعمیر کر چکے تھے۔ جب انہوں نے اس سیٹ اپ کا ریڈ ٹیمنگ کیا، تو انہوں نے بروٹلی میں ایک کمزوری دریافت کر لی، جو انٹرنیٹ پر سب سے زیادہ استعمال ہونے والی کمپریشن لائبریریوں میں سے ایک ہے یہ خرابی حملہ آور کو کسی بھی متاثرہ سسٹم پر اپنا کوڈ چلانے کی اجازت دیتی ہے، صرف مضر کمپریسڈ ڈیٹا بھیج کر۔ کوئی لاگ ان نہیں، کوئی صارف اکاؤنٹ درکار نہیں۔ صرف بھیج دیں اور آپ اندر ہو چکے ہیں بروٹلی نوڈ.js، بون، انوائے اور انٹرنیٹ ٹرافک کو ہینڈل کرنے والے تمام چیزوں میں شامل ہے۔ یہ خرابی فروری میں تکنیکی طور پر درست کر دی گئی تھی لیکن اس وقت کسی کو معلوم نہ تھا کہ یہ ایک سکیورٹی مسئلہ ہے اس لئے ماہوں تک، پچ موجود تھا لیکن تقریباً کسی نے اسے لاگو نہیں کیا کیونکہ یہ عام اپڈیٹ جیسا لگ رہا تھا کبھی کبھار سب سے خوفناک دریافتیں اس وقت ہوتی ہیں جب آپ تلاش نہیں کر رہے ہوتے

ان کا اسے "کالا اکتوبر" کہ رہے ہیں اور مجھے لگتا ہے کہ لوگ اس کی شدت کو سمجھ نہیں رہے۔ پچھلے 48 گھنٹوں میں 27 سے زیادہ بڑے سائبر سیکیورٹی واقعات رپورٹ ہوئے ہیں۔ نہ ایک ماہ میں۔ نہ ایک ہفتے میں۔ صرف 48 گھنٹوں میں۔ ان میں سے کوئی بھی ایک عام طور پر سال کا سب سے بڑا خبر بن جاتا۔ PHP: ویب کے 80 فیصد سافٹ ویئر کو چلنے والے سافٹ ویئر میں انتہائی اہم کمزوری۔ شدت 10 میں سے 9.2 Node.js: ایک اعلیٰ شدت کی خامی جس کے ذریعے حملہ آور ریموٹلی سرورز پر قبضہ کر سکتے ہیں۔ اس سے ورژن 22، 24 اور 26 متاثر ہوئے ہیں Java: بھی متاثر ہوا۔ دنیا کے تین سب سے زیادہ استعمال ہونے والے پروگرامنگ زبانوں پر ایک ساتھ حملہ GitLab: 2014 سے تمام ورژن میں 10/10 شدت کا خطرہ Railway: ہوسٹنگ پلیٹ فارم متاثر ہوا۔ OpenAI، Claude، Stripe کے API کلیدز ممکنہ طور پر افشا ہو گئے Signal: ایک خرابی جس کی وجہ سے آپ کا مائک اور کیمرہ آپ کے کال ختم کرنے کے بعد بھی آن رہ سکتا ہے WordPress: ہیکرز نے ایک پلگ ان بنانے والے کی کلیدز چوری کر لیں اور ویب سائٹس پر بیکڈورز لگا دیے LiteLLM: ایک AI ٹول جسے روزانہ 3.4 ملین بار ڈاؤن لوڈ کیا جاتا ہے، اس میں پاس ورڈ چور کرنے والا پروگرام شامل کر دیا گیا اور یہ فہرست کا نصف بھی نہیں بتایا جا رہا ہے کہ ہزاروں AI ایجینٹ سویرم ابھی متاثرہ سرورز کو اسکین کر رہے اور حملہ کر رہے ہیں۔ آٹومیٹڈ۔ رات دن سائبر سیکورٹی ماہرین کا کہنا ہے کہ یہ شاید ایک عالمی سائبر واقعے کا آغاز ہو سکتا ہے جس کا اب تک کوئی مکمل طور پر اندازہ نہیں لگا پایا اگر آپ کا ویب سائٹ چل رہا ہے، آپ کلاؤڈ سروسز استعمال کرتے ہیں، API کلیدز ہوسٹنگ پلیٹ فارمز پر محفوظ کرتے ہیں، یا PHP، Node.js، یا Java پر بنائے گئے کوئي بھی سافٹ ویئر استعمال کرتے ہیں تو آپ متاثر ہو سکتے ہیں سب کچھ اپڈیٹ کر دیں۔ اپنے API کلیدز تبدیل کر دیں۔ اپنے انتظامات والے سروسز پر پاس ورڈز بدل دیں۔ جہاں تک نہ چلا ہو، وہاں 2FA ضرور لگائیں اس بار انٹرنیٹ پر عام ہفتہ نہیں ہے۔ یہ کچھ الگ بات ہے

دوبارہ ریولوٹ بھائی کچھ ہفتے پہلے، نام، پتے، پاسپورٹ کی تصاویر اور کرپٹو لین دین کی تاریخ کو لیک ہونے والی ڈیٹا بریچ۔ گزشتہ ہفتہ، ایک شخص کو اس لیک ہونے والی ڈیٹا کی وجہ سے 800,000 امریکی ڈالر کے لیے چاقو کے زور پر ڈکیتی کا نشانہ بنایا گیا۔ آج ایک سروس میں خرابی جس سے ملینوں صارفین متاثر ہوئے۔ "آپ کا پیسہ اور ڈیٹا محفوظ ہے" وہ کہتے ہیں۔ اب تک، ریولوٹ کو غلط وجوہات کی وجہ سے کتنی بار خبروں میں آنا پڑا ہے کہ لوگ سنجیدہ سوالات اٹھانے لگیں؟ آپ کا ڈیٹا لیک ہوتا ہے۔ آپ کی سروس بند ہو جاتی ہے۔ اور آپ کو صرف "ہم آپ کو ناراحتی کے لیے معذرت چاہتے ہیں" ملتا ہے۔ 800,000 امریکی ڈالر کی ڈکیتی ناراحتی نہیں بھائی