16 ستمبر 2026 کو Cisco نے CVE-2026-76460 کے بارے میں ایک سیکیورٹی انتباہ جاری کیا، جو Identity Services Engine اور ISE Passive Identity Connector کو متاثر کرتی ہے۔ CVSS کا بنیادی اسکور 10.0 ہے، جو اس پیمانے کا سب سے بڑا درجہ ہے۔ وجہ ایک API اینڈ پوائنٹ پر ناکافی تصدیقی کنٹرولز ہیں، اور نتیجہ یہ ہے کہ بغیر تصدیق کا کوئی دور بیٹھا حملہ آور ایک خاص طور پر تیار کی گئی درخواست بھیج کر انتظامی انٹرفیس تک پہنچ سکتا ہے۔ Cisco صاف کہتا ہے کہ اس کی PSIRT کو فعال استحصال کا علم ہے، اور کوئی متبادل حل دستیاب نہیں۔

تکنیکی نام کاروبار کے مالک کے لیے زیادہ معنی نہیں رکھتا۔ عملی مطلب سب کچھ بتا دیتا ہے: متاثرہ آلہ کوئی فائل سرور یا نیٹ ورک پرنٹر نہیں ہے۔ یہ وہ آلہ ہے جس سے باقی نیٹ ورک ہر اس شخص کی شناخت پوچھتا ہے جو جڑنے کی کوشش کرتا ہے۔ یہی طے کرتا ہے کہ یہ لیپ ٹاپ ایک مجاز ملازم کا ہے، یہ فون ایک مہمان کا ہے جس کی جگہ گیسٹ نیٹ ورک پر ہے، اور یہ سپلائر ٹھیک ایک سسٹم تک پہنچے گا۔ جب یہ فیصلہ کرنے والا اختیار گر جاتا ہے تو آپ ایک سروس نہیں کھوتے۔ آپ وہ بنیاد کھو دیتے ہیں جس پر ہر سروس کھڑی ہے۔

ہم حقیقت میں کیا جانتے ہیں

یہ حقائق پریس کی خبروں سے نہیں بلکہ Cisco کے اپنے انتباہ اور CISA کے Known Exploited Vulnerabilities (معلوم استحصال شدہ کمزوریوں) کیٹلاگ سے لیے گئے ہیں:

  • متاثرہ پروڈکٹس: Cisco Identity Services Engine اور ISE Passive Identity Connector، ریلیز 3.1 سے 3.5 تک۔
  • درست شدہ ریلیزز: 3.1 Patch 12، 3.2 Patch 11، 3.3 Patch 12، 3.4 Patch 7 اور 3.5 Patch 4۔
  • استحصال کی پیشگی شرط: کوئی نہیں۔ دور بیٹھا، بغیر تصدیق کا حملہ آور، API اینڈ پوائنٹ کو ایک خاص طور پر تیار کی گئی درخواست، نہ اکاؤنٹ نہ پاس ورڈ۔
  • صورتحال: Cisco PSIRT کے مطابق فعال طور پر استحصال ہو رہا ہے، اور 16 ستمبر 2026 کو Known Exploited Vulnerabilities کیٹلاگ میں شامل کیا گیا، امریکی وفاقی اداروں کے لیے اصلاح کی آخری تاریخ 19 ستمبر 2026 ہے۔
  • متبادل حل: کوئی نہیں۔ Cisco جس واحد بچاؤ کا ذکر کرتا ہے وہ یہ ہے کہ پیچ لگنے تک انفراسٹرکچر ایکسیس کنٹرول لسٹس کے ذریعے آلے تک رسائی محدود کی جائے۔

اس فہرست کے تین الفاظ پر رک کر سوچنا چاہیے: دور سے، بغیر تصدیق کے، اور کوئی متبادل حل نہیں۔ جس کمزوری میں ان میں سے کوئی ایک بھی نہ ہو، وہ آپ کو سانس لینے کی گنجائش دیتی ہے۔ یہ کمزوری پیچ لگانے یا الگ کرنے کے سوا کچھ نہیں چھوڑتی۔

شناختی آلات آپ کے کسی بھی دوسرے سرور سے زیادہ خطرناک کیوں ہیں

کارپوریٹ نیٹ ورک میں سسٹمز اپنی نقب کے نتائج میں برابر نہیں ہوتے۔ رپورٹنگ سرور میں نقب لگے تو آپ رپورٹس کھوتے ہیں۔ شناخت اور رسائی کو کنٹرول کرنے والے آلے میں نقب لگے تو آپ نے ایک آلہ نہیں کھویا۔ آپ نے پورے نیٹ ورک میں اجازت کے لفظ کا مطلب کھو دیا ہے۔

جو کوئی ایسے سسٹم کا انتظامی کنٹرول حاصل کر لے، وہ اصولی طور پر خود پالیسیاں بدل سکتا ہے — کسی کنٹرول کو شکست دینے کی کوشش کے بجائے ایک مجاز شناخت گھڑ سکتا ہے۔ یہی بنیادی فرق ہے۔ حملہ لاگز میں غیر معمولی دکھنے والی دراندازی نہیں رہتا بلکہ مکمل طور پر جائز دکھنے والا داخلہ بن جاتا ہے، کیونکہ وہ اسی دروازے سے آیا جس پر آپ بھروسا کرتے ہیں۔ اسے پکڑنا سب سے مشکل ہوتا ہے، کیونکہ نگرانی اس مفروضے پر قائم ہوتی ہے کہ شناختی سسٹم جسے منظور کرے وہ تعریف کے لحاظ سے منظور شدہ ہے۔

اس کے ساتھ یہ بھی دیکھیں کہ یہ آلات کہاں نصب ہوتے ہیں۔ یہ نیٹ ورک کے بیچ میں ہوتے ہیں اور ہر سیگمنٹ سے جڑے ہوتے ہیں، کیونکہ ان کے کام کا یہی تقاضا ہے۔ چنانچہ آلے پر قدم جمانا اس کے پیچھے موجود ہر چیز کی طرف جانے والی کھلی سڑک پر قدم جمانا ہے۔ اسی لیے شناخت، رسائی اور تصدیق کے سسٹمز عمومی نیٹ ورک آلات کی فہرست میں نہیں بلکہ اہم اثاثوں کی فہرست میں سب سے اوپر ہونے چاہییں۔ ہم نے یہی منطق ایک مختلف زاویے سے ناکامی کے اس واحد نقطے پر جس کا کوئی نقشہ نہیں بناتا والے مضمون میں بیان کی تھی۔

سبق Cisco کے بارے میں نہیں ہے

اسے ایک وینڈر کی ایک پروڈکٹ کی خبر سمجھ کر پڑھنا آسان ہے۔ یہ پڑھنا آرام دہ ہے اور بے فائدہ بھی۔ Cisco نے حل جاری کیا اور استحصال کی صورتحال واضح طور پر بتائی، جو ایک پختہ وینڈر کو کرنا چاہیے۔ ہر وینڈر کے سیکیورٹی آلات میں کمزوریاں ہوتی ہیں، کیونکہ وہ سافٹ ویئر ہیں، اور ایسے ہی انتباہات آگے بھی آئیں گے۔

ساتھ لے جانے والا سوال یہ نہیں کہ آپ Cisco چلاتے ہیں یا نہیں۔ سوال یہ ہے کہ کیا آپ جانتے ہیں کہ کون سے آلات اور سسٹمز آپ کے نیٹ ورک کے صارفین کی تصدیق کرتے ہیں، وہ کس ورژن پر ہیں، ان پر پیچ لگانے کی ذمہ داری کس کی ہے، اور اس میں حقیقت میں کتنا وقت لگتا ہے۔ جو ادارہ ان چار سوالوں کا جواب آدھے گھنٹے میں دے سکے، وہ اس انتباہ کو ایک شام کے کام کی طرح نمٹا دیتا ہے۔ جو ادارہ یہ نہیں جانتا کہ آلے کا انتظام کون کرتا ہے، اسے صرف آغاز کی لکیر تک پہنچنے میں ایک ہفتہ لگتا ہے، اور وہ پورا ہفتہ خطرے میں گزرتا ہے۔

قومی سائبر سیکیورٹی اتھارٹی (NCA) کے جاری کردہ بنیادی سائبر سیکیورٹی کنٹرولز اپنے کمزوریوں کے انتظام کے شعبے میں بالکل یہی مانگتے ہیں: کمزوریوں کا وقتاً فوقتاً جائزہ اور نشاندہی، سنگینی کے لحاظ سے درجہ بندی، اسی درجہ بندی اور متعلقہ خطرے کے مطابق اصلاح، نئی کمزوریوں کی خبروں کے لیے قابل اعتماد ذرائع کی رکنیت، اور ایسا پیچ انتظام جو اپ ڈیٹس نافذ کرنے سے پہلے غیر پروڈکشن ماحول میں ان کی سالمیت اور مؤثریت کی جانچ کرے۔ جو کنٹرول عموماً ناکام ہوتا ہے وہ خود پیچ لگانا نہیں ہے۔ وہ قابل اعتماد ذریعہ ہے: جس ادارے کو وینڈر کا انتباہ کبھی ملتا ہی نہیں، اسے اس کا علم چند دن بعد کسی خبری مضمون سے ہوتا ہے، یا کبھی نہیں ہوتا۔

Origami کا نقطۂ نظر

ہم نیٹ ورک ہارڈویئر بیچنے کے بجائے کاروباری سسٹمز بناتے ہیں، پھر بھی ہر انٹیگریشن پروجیکٹ میں اس کے نتائج دیکھتے ہیں۔ جب بھی ہم کسی کلائنٹ کے نیٹ ورک سے نیا سسٹم جوڑتے ہیں تو ایک ہی سوال سامنے آتا ہے: یہاں اجازتیں کون دیتا ہے، اور وہ فیصلہ کہاں درج ہوتا ہے۔ بار بار یہی مشاہدہ ہوتا ہے کہ کمزور حصہ شاذ و نادر ہی نئی ایپلیکیشن یا اس کی حفاظتی مضبوطی ہوتا ہے۔ کمزور حصہ وہ پرت ہوتی ہے جسے ایپلیکیشن درست مان لیتی ہے اور جس کی کوئی جانچ نہیں کرتا، کیونکہ وہ پرانی ہے اور برسوں سے خاموشی سے چل رہی ہے۔

اس لیے ہم شناخت کے راستے میں آنے والے ہر جزو کو ایپلیکیشن کے برابر کی چیز نہیں بلکہ ایپلیکیشن سیکیورٹی کا حصہ سمجھتے ہیں۔ اسے نام، ورژن اور ذمہ دار شخص کے ساتھ اثاثوں کی فہرست میں درج کیا جاتا ہے۔ اسے پہلے سے طے شدہ دیکھ بھال کا وقت ملتا ہے، نہ کہ انتباہ آنے والے دن جلد بازی میں طے کیا گیا۔ اور اس کا انتظامی انٹرفیس عمومی نیٹ ورک سے قابل رسائی ہونے کے بجائے ایک الگ انتظامی نیٹ ورک تک محدود رہتا ہے۔ یہ تین طریقے ہیں جن کے لیے کسی نئے بجٹ کی ضرورت نہیں، اور یہی اس کاروبار کے درمیان فرق ہیں جو Cisco کا انتباہ پڑھ کر جانتا ہے کہ کیا کرنا ہے، اور اس کاروبار کے درمیان جو اسے پڑھ کر سب سے پہلے یہ پوچھتا ہے کہ آلے کا پاس ورڈ کس کے پاس ہے۔ یہ ہماری خدمات میں ہمارے کام کرنے کے طریقے کا حصہ ہے۔

اس ہفتے جواب دینے کے لیے پانچ سوال

یہ کوئی مکمل سیکیورٹی پروگرام نہیں ہے۔ یہ پانچ جواب ہیں جو اگلے انتباہ کے لیے آپ کی تیاری ظاہر کرتے ہیں، کیونکہ اگلا انتباہ ضرور آئے گا۔

  • اگر آپ Cisco ISE یا ISE-PIC چلاتے ہیں: آپ کس ریلیز پر ہیں، اور کیا وہ 3.1 سے 3.5 کے درمیان ہے؟ اگر ہاں، تو درست شدہ ریلیزز اوپر درج ہیں، اور یہ طے شدہ نہیں بلکہ فوری کام ہے۔ پیچ لگنے تک، انتباہ میں بیان کردہ طریقے کے مطابق ایکسیس کنٹرول لسٹس کے ذریعے آلے تک رسائی محدود کریں۔
  • اثاثوں کی فہرست: کیا آپ کے پاس اپنے زیر استعمال تصدیق اور رسائی کے سسٹمز کی، ان کے ورژنز سمیت، تحریری فہرست ہے؟ اگر جواب کسی ایک شخص کے ذہن میں ہے تو وہ فہرست نہیں ہے۔
  • انتباہات کا ذریعہ: آپ کے ادارے میں آپ کے ہر وینڈر کے سیکیورٹی انتباہات کی رکنیت کس نے لی ہوئی ہے؟ یہ رکنیت مفت ہے اور چند منٹ لیتی ہے، اور اس کا نہ ہونا ہی عموماً تاخیر کی وجہ ہوتا ہے، کسی ٹول کی کمی نہیں۔
  • پیچ لگنے تک کا وقت: آپ کو ملنے والے آخری اہم انتباہ اور پیچ نافذ ہونے کے درمیان کتنے گھنٹے یا دن گزرے؟ وہ عدد لکھ لیں۔ یہی آپ کا اصل پیمانہ ہے، اور یہ کسی بھی تحریری منصوبے سے زیادہ دیانت دار ہے۔
  • انتظامی انٹرفیس: کیا آپ کے اہم آلات کے ایڈمن کنسول نیٹ ورک میں کہیں سے بھی قابل رسائی ہیں، یا صرف ایک مقررہ انتظامی نیٹ ورک سے؟ رسائی محدود کرنے سے کمزوری ختم نہیں ہوتی، لیکن یہ ممکنہ طور پر پورے انٹرنیٹ سے ہونے والے حملے کو ایسے حملے میں بدل دیتی ہے جس کے لیے پہلے اندرونی قدم جمانا ضروری ہو۔

عملی نتیجہ محدود ہے۔ کمزوریاں کوئی غیر معمولی حادثہ نہیں جو آپ کے کاروبار پر گھات لگائے بیٹھا ہو؛ یہ بار بار پیش آنے والا واقعہ ہے جس کی آپ پہلے سے مشق کر سکتے ہیں۔ جو ادارہ ڈٹا رہتا ہے اور جو رک جاتا ہے، ان کے درمیان فرق خامی کا نہ ہونا نہیں، بلکہ حل جاری ہونے اور اسے نافذ کرنے کے درمیان گزرنے والے گھنٹے ہیں۔

ذرائع