OpenAI نے Brotli میں ریموٹ کوڈ چلانے کی ایک سنگین خامی دریافت کی

OpenAI کے محققین نے Brotli میں ایک سنگین کمزوری دریافت کی، جس کا نام CVE-2026-111497 ہے اور جسے Node2Shell بھی کہا جاتا ہے۔ یہ خامی کمپریشن لائبریری کے ڈیکوڈر میں مقررہ حدود سے باہر ڈیٹا لکھنے کا سبب بنتی ہے، جس کے ذریعے کوئی غیر مصدقہ حملہ آور بدنیتی سے تیار کردہ کمپریسڈ ڈیٹا استعمال کرکے کوڈ چلا سکتا ہے۔ اس کمزوری کا CVSS اسکور 9.2 ہے اور یہ کلائنٹ اور سرور، دونوں جانب کی ایپلی کیشنز کو متاثر کر سکتی ہے۔ Brotli کی اس کمزوری کے بعد Node.js، Bun، Envoy اور کئی Python پیکیجز کے لیے سکیورٹی اپ ڈیٹس جاری کی گئی ہیں۔ Node.js صارفین کو ورژن 22.23.4، 24.22.1 یا 26.12.1 پر اپ گریڈ کرنا چاہیے؛ Bun کے 1.4.4 سے پہلے کے ورژن متاثر ہیں۔ کمزوری کے عملی مظاہرے کا کوڈ سامنے آ چکا ہے، اور Imperva کے محققین نے متاثرہ Node.js بلڈز پر قابلِ اعتماد طریقے سے اس کمزوری کا فائدہ اٹھا کر دکھایا۔ تاہم، 23 اکتوبر 2026 تک بڑے پیمانے پر حملوں کا کوئی عوامی ثبوت موجود نہیں تھا۔ کرپٹو ٹریڈرز اس سافٹ ویئر کی خامی سے براہِ راست متاثر نہیں ہوتے، لیکن ایکسچینجز، والیٹ سروسز اور دیگر کرپٹو پلیٹ فارمز کو جانچنا چاہیے کہ آیا وہ Brotli کے کمزور اجزا استعمال کر رہے ہیں، خصوصاً وہاں جہاں غیر معتبر ذرائع سے آنے والا کمپریسڈ ڈیٹا پراسیس کیا جاتا ہے۔ یہ واقعہ ڈیجیٹل اثاثوں کے شعبے میں استعمال ہونے والے سافٹ ویئر انفراسٹرکچر کو درپیش سائبر سکیورٹی خطرات کو نمایاں کرتا ہے۔
Neutral
اس کمزوری کا کرپٹو کرنسی کی قیمتوں، ٹوکن کی فراہمی یا بلاک چین پروٹوکول کی سرگرمی سے کوئی براہِ راست تعلق نہیں، اس لیے مارکیٹ پر غیر جانب دار اثر سب سے مناسب ہے۔ اس کی فوری اہمیت عملی نوعیت کی ہے: کرپٹو ایکسچینج، تحویلی خدمات فراہم کرنے والے ادارے، والیٹ فراہم کنندگان اور دیگر خدمات رن ٹائم یا انحصاری اجزا کے ذریعے Brotli استعمال کر سکتے ہیں، اور کامیاب حملہ خدمات میں خلل ڈال سکتا ہے یا نظام کو بے نقاب کر سکتا ہے۔ ٹریڈرز انفرادی پلیٹ فارمز کی جانب سے جاری کردہ واقعے کی رپورٹس پر نظر رکھ سکتے ہیں، لیکن مضمون میں کسی متاثرہ کرپٹو کمپنی یا سروس کی نشاندہی نہیں کی گئی۔ قلیل مدت میں، پروف آف کانسیپٹ کوڈ اور شدت کا بلند اسکور متاثرہ کاروباروں کو سیکیورٹی جائزے، پیچ لگانے اور محتاط رسک مینجمنٹ کی ترغیب دے سکتا ہے۔ اگر کوئی بڑا ایکسچینج یا والیٹ استحصال یا بندش کی اطلاع دے، تو اس کے صارفین رقم نکلوا سکتے ہیں یا سرگرمی کم کر سکتے ہیں، جس سے مخصوص پلیٹ فارم پر اتار چڑھاؤ پیدا ہونے کا امکان ہے۔ مضمون میں بڑے پیمانے پر استحصال کی کوئی اطلاع نہیں، اس لیے وسیع تر مارکیٹ میں خلل کی توقع کی بنیاد محدود ہے۔ طویل مدت میں، یہ واقعہ کرپٹو کمپنیوں کو اپنے سافٹ ویئر میں شامل اوپن سورس اجزا کا آڈٹ کرنے اور سپلائی چین کی سیکیورٹی مضبوط بنانے کی ترغیب دے سکتا ہے۔ اسی نوعیت کی سافٹ ویئر کمزوریاں عموماً ہدفی عملی اقدامات کا باعث بنتی ہیں، نہ کہ پوری کرپٹو مارکیٹ میں مسلسل اتار چڑھاؤ کا—سوائے اس صورت کے کہ ان کے نتیجے میں کسی خلاف ورزی کی تصدیق ہو، فنڈز ضائع ہوں یا خدمات طویل عرصے تک بند رہیں۔ لہٰذا ٹریڈرز کو عمومی انفراسٹرکچر کے خطرے اور کرپٹو شعبے میں کسی مخصوص واقعے کے شواہد میں فرق کرنا چاہیے۔