Microsoft نے 974 CVEs گنیں، مگر صارف کو 964 fixes خود لگانی ہیں
Microsoft نے 8 ستمبر 2026 کو Windows، Windows Server، Office، Exchange، SharePoint، SQL Server اور دوسری مصنوعات کے لیے سکیورٹی اپ ڈیٹس جاری کیں۔ Microsoft کی سرکاری ستمبر اپ ڈیٹ کے مطابق دو Windows خامیاں، CVE-2026-81963 اور CVE-2026-85880، fixes دستیاب ہونے سے پہلے exploit ہو چکی تھیں، اس لیے متاثرہ مصنوعات کو جلد اپ ڈیٹ کرنے کی ہدایت دی گئی ہے۔
اس ریلیز کا مکمل شمار 974 CVEs ہے، لیکن متاثرہ صارفین اور منتظمین کو اپنے زیرِ انتظام نظاموں پر 964 کے دائرے میں آنے والی fixes نافذ کرنا ہیں۔ Malwarebytes کی عددی وضاحت کے مطابق باقی دس CVEs cloud services یا ایسی اصلاحات سے متعلق ہیں جنہیں Microsoft خود نافذ کرتا ہے؛ اسی لیے 974 اور 964 دونوں اعداد درست ہیں، مگر ان کا دائرہ مختلف ہے۔
974 اور 964 کا حساب
974 مکمل security release کا شمار ہے، جبکہ 964 customer-action دائرہ ہے۔ پہلے عدد میں Microsoft کی ستمبر فہرست کے تمام متعلقہ CVEs شامل ہیں۔ اس میں سے دس cloud یا Microsoft-managed اصلاحات الگ کرنے پر 964 رہ جاتے ہیں جن کے لیے متاثرہ customer-managed مصنوعات کو اپ ڈیٹ کرنا ضروری ہے۔
- 974 CVEs: مکمل ستمبر security release میں شمار کیے گئے اندراجات۔
- 10 managed fixes: cloud services یا Microsoft کی جانب سے نافذ کی جانے والی اصلاحات۔
- 964 customer-action CVEs: متاثرہ، صارف یا ادارے کے زیرِ انتظام نظاموں کے لیے patching کا دائرہ۔
یہ حساب اس معنی میں نہیں کہ ہر Windows صارف 964 الگ packages نصب کرے گا یا اتنی ہی دستی کارروائیاں کرے گا۔ ایک cumulative update متعدد CVEs درست کر سکتی ہے، جبکہ Exchange، SharePoint یا SQL Server کی fix صرف اسی نظام پر لاگو ہوگی جہاں متعلقہ product اور متاثرہ version موجود ہو۔ لہٰذا اصل workload پورے catalog کے عدد سے نہیں بلکہ ہر device اور server پر applicable updates سے طے ہوگا۔
اسی فرق کی وجہ سے 974 کو “ہر صارف کے patches” اور 964 کو “Microsoft کی مکمل release” کہنا دونوں گمراہ کن ہوں گے۔ پہلا وسیع catalog ہے؛ دوسرا اس catalog سے Microsoft-managed حصہ نکالنے کے بعد customer-managed scope کو ظاہر کرتا ہے۔
دو exploited zero-days کس خطرے کو بڑھاتی ہیں
SANS NewsBites کی آزاد تفصیل 974 خامیوں، دونوں exploited CVEs اور ان کے 7.8 CVSS scores کی تصدیق کرتی ہے: CVE-2026-81963 Windows Update Stack میں file access سے پہلے غلط link resolution، جبکہ CVE-2026-85880 Windows ALPC میں heap-based buffer overflow ہے۔ دونوں مقامی طور پر privileges بڑھانے کی خامیاں ہیں۔
ان نقائص کی risk chain remote-code-execution خامی سے مختلف ہے۔ یہ خود کسی دور بیٹھے حملہ آور کو ابتدائی رسائی نہیں دیتیں؛ حملہ آور کو پہلے device پر authorized local access یا محدود اختیار کے ساتھ code execution حاصل کرنا ہوگا۔ اس کے بعد exploit زیادہ طاقتور SYSTEM privileges تک پہنچنے میں مدد دے سکتی ہے۔
CVE-2026-81963 میں خطرہ Windows Update Stack کی link-following handling سے بنتا ہے۔ غلط link resolution کے ذریعے مقامی حملہ آور file operation کو ایسے مقام کی طرف موڑ سکتا ہے جہاں بلند اختیارات حاصل کیے جا سکیں: پہلے محدود مقامی رسائی، پھر Update Stack کا غلط file path، اور آخر میں privilege elevation۔
CVE-2026-85880 Windows Advanced Local Procedure Call میں memory handling کی خرابی ہے۔ کم اختیار والے AppContainer میں code چلانے والا حملہ آور اسے مقامی طور پر sandbox سے نکلنے اور privileges بڑھانے کے لیے استعمال کر سکتا ہے؛ دستیاب تکنیکی تفصیل میں اس مرحلے کے لیے مزید user interaction درکار نہیں بتایا گیا۔
SYSTEM اختیار ملنے کے بعد malware دفاعی controls میں مداخلت، محفوظ data تک رسائی، مستقل موجودگی یا نیٹ ورک کے دوسرے نظاموں کی طرف حرکت کی کوشش کر سکتا ہے۔ اسی لیے ان دونوں خامیوں کی فوری اہمیت صرف score نہیں بلکہ patch سے پہلے exploitation اور حملے کی اگلی کڑی بننے کی صلاحیت ہے۔
گھر، چھوٹے کاروبار اور servers کے لیے patch priority
گھریلو صارف کے لیے پہلی ترجیح supported Windows version کی ستمبر cumulative update مکمل کرنا ہے۔ Microsoft نے اس ماہ کی Windows release کو baseline update قرار دیا ہے جس کے لیے restart ضروری ہے؛ automatic updates فعال ہونے کے باوجود restart مکمل نہ ہو تو نئی binaries پوری طرح نافذ نہیں ہوتیں۔ اپ ڈیٹ کے بعد Windows Update کی حالت دوبارہ دیکھنا یہ واضح کرتا ہے کہ installation مکمل ہوئی یا مزید کارروائی باقی ہے۔
چھوٹے کاروبار پہلے روزمرہ استعمال کے Windows laptops اور desktops، خصوصاً email، browser اور کاروباری credentials رکھنے والے devices، کی update حالت معلوم کریں۔ دونوں exploited خامیاں ابتدائی compromise کے بعد privileges بڑھا سکتی ہیں، اس لیے صرف یہ فرض کرنا کافی نہیں کہ automatic update ہر endpoint پر کامیاب ہوگئی ہے۔ اس کے بعد نصب Office مصنوعات اور remotely reachable systems پر applicable fixes دیکھی جائیں۔
Server administrators کے لیے ترتیب exposure اور کاروباری اثر کے مطابق ہونی چاہیے۔ پہلے دونوں exploited Windows flaws اور internet-facing یا remote-accessible نظام، پھر Exchange، SharePoint، SQL Server اور متعلقہ critical remote-code-execution updates آتے ہیں۔ Microsoft کی product table میں Windows 11، Windows Server 2016 سے 2025، Office اور SQL Server کے لیے زیادہ سے زیادہ شدت Critical اور بڑا اثر remote code execution درج ہے؛ Exchange اور SharePoint کے لیے زیادہ سے زیادہ شدت Important ہونے کے باوجود remote code execution ممکنہ اثر ہے۔
Production servers پر تیز deployment کے ساتھ محدود test group، staged rollout، مطلوبہ restart، service validation اور rollback تیاری ضروری ہے۔ اس ریلیز کے بعد Windows 11 25H2 کی KB5124008 نصب کرنے والے بعض صارفین نے پرانے domain controllers کے ساتھ authentication failures رپورٹ کیے ہیں؛ یہ رپورٹ شدہ compatibility مسئلہ اس بات کی وجہ ہے کہ بڑے server ماحول میں installation کی تصدیق کو صرف patch push تک محدود نہ رکھا جائے۔
ترجیح کا خلاصہ CVE count سے نہیں بلکہ چار سوالوں سے بنتا ہے: کیا خامی exploit ہو رہی ہے، کیا متاثرہ product واقعی نصب ہے، کیا نظام internet-facing ہے، اور کامیاب exploit کا ممکنہ اثر کیا ہوگا۔ فی الحال دونوں zero-days کے patches دستیاب ہیں، مگر عوامی معلومات مخصوص حملہ آور گروہ، مہم یا متاثرین کی تعداد نہیں بتاتیں؛ اس لیے قابلِ پیمائش اگلا مرحلہ applicable updates کی deployment اور validation ہے، نہ کہ ہر نظام پر 964 الگ fixes تلاش کرنا۔
یہ بھی پڑھیں:
ہمارا نیوز لیٹر سبسکرائب کریں
ویب 3، AI اور کرپٹو کی تازہ خبریں براہ راست اپنے اِن باکس میں پائیں۔