25 اگست 2026 کو امریکہ کی سائبر سکیورٹی اور انفراسٹرکچر سکیورٹی ایجنسی (CISA) نے CVE-2026-60004 کو اپنی معلوم استحصال شدہ کمزوریوں (Known Exploited Vulnerabilities) کی فہرست میں شامل کیا اور وفاقی سول اداروں کے لیے اصلاح کی آخری تاریخ 28 اگست مقرر کی۔ یہ خامی Gitea میں ہے، جو کوڈ ریپوزیٹریز کی میزبانی کے لیے ایک اوپن سورس سرور ہے اور جسے بہت سی ٹیمیں کلاؤڈ سروس استعمال کرنے کے بجائے اپنے ہی انفراسٹرکچر پر چلاتی ہیں۔

یہ شناختی نمبر بذاتِ خود کسی کاروباری مالک کے لیے کوئی معنی نہیں رکھتا۔ اصل معنی کہیں اور ہیں۔ یہ اس ویب سائٹ کی خامی نہیں جو آپ کے گاہک دیکھتے ہیں، نہ ہی آپ کی موبائل ایپ کی۔ یہ ایک ایسے اندرونی ٹول کی خامی ہے جسے تکنیکی ٹیم کے باہر کوئی کبھی نہیں کھولتا۔ اور اس میں نقب لگانے سے وہ دروازے کھل جاتے ہیں جو آپ کی ویب سائٹ میں نقب لگانے سے کبھی نہیں کھلتے۔

دراصل کیا ہوا

Gitea کے مینٹینرز کی جاری کردہ سکیورٹی ایڈوائزری کے مطابق، یہ خامی کسی بھی ریپوزیٹری پر عام رائٹ رسائی رکھنے والے صارف کو diffpatch اینڈ پوائنٹ پر خاص طور پر تیار کردہ پیچ بھیجنے دیتی ہے۔ اس سے سرور پر ایک قابلِ عمل Git ہُک نصب ہو جاتا ہے، جو پھر اس اکاؤنٹ کی حیثیت سے شیل کمانڈز چلاتا ہے جس کے تحت سروس چلتی ہے۔ ورژن 1.17 سے 1.27.0 تک متاثر ہیں، اور اصلاح 1.27.1 میں آئی۔

سب سے اہم بات یہ ہے کہ داخلے کی رکاوٹ کتنی نیچی ہے۔ کسی ریپوزیٹری پر رائٹ رسائی کوئی نایاب استحقاق نہیں، اور ڈیفالٹ کنفیگریشن میں، جہاں خود رجسٹریشن کھلی ہوتی ہے، کوئی بھی شخص اکاؤنٹ بنا کر خود ہی اس رکاوٹ تک پہنچ سکتا ہے۔ اسی لیے امریکہ کا قومی کمزوری ڈیٹا بیس (NVD) اسے CVSS پیمانے پر 10 میں سے 9.8 درجہ دیتا ہے، جو ان خامیوں کے لیے مخصوص اسکور ہے جن کا دور سے استحصال کیا جا سکتا ہے، جن کے لیے کسی پیچیدہ تصدیق کی ضرورت نہیں ہوتی، اور جو رازداری، سالمیت اور دستیابی کو مکمل طور پر متاثر کر دیتی ہیں۔

وہی ایڈوائزری بتاتی ہے کہ کامیاب استحصال کوڈ سے کہیں زیادہ چیزیں بے نقاب کر دیتا ہے: لاگ اِن کی اسناد، خفیہ معلومات، ڈیٹا بیسز، ماؤنٹ کی گئی ریپوزیٹریز، OAuth ٹوکنز اور وہ اندرونی سروسز جن تک سرور پہنچ سکتا ہے۔ حملہ آور ٹیکسٹ فائلیں لے کر نہیں جاتا۔ وہ آپ کے نیٹ ورک کے اندر سرور کا مقام وراثت میں حاصل کر لیتا ہے۔

کوڈ سرور آپ کی ویب سائٹ سے زیادہ خطرناک کیوں ہے

آپ کی ویب سائٹ میں وہ ہوتا ہے جو آپ چاہتے ہیں کہ لوگ دیکھیں۔ آپ کے کوڈ سرور میں وہ ہوتا ہے جو باقی سب کچھ چلاتا ہے۔ عملی طور پر یہ اندرونی نظام عموماً ان چیزوں کو ایک جگہ جمع کر لیتے ہیں:

  • آپ کے نظاموں کا سورس کوڈ، جس میں قیمتوں کا منطق، رعایت کے قواعد اور اجازت کی جانچ شامل ہیں۔
  • کنفیگریشن فائلیں اور انوائرنمنٹ ویری ایبلز، جن میں ڈیٹا بیس پاس ورڈز، پیمنٹ گیٹ وے کلیدیں اور سرکاری API اسناد ہوتی ہیں۔
  • ڈیپلائمنٹ کلیدیں، جو کسی اپ ڈیٹ کو براہِ راست پروڈکشن سرورز پر بھیج سکتی ہیں۔
  • ان دوسری مشینوں تک اندرونی نیٹ ورک کی رسائی جو انٹرنیٹ پر بالکل کھلی نہیں ہیں۔

اس امتزاج کا مطلب یہ ہے کہ نقب زدہ کوڈ سرور کوئی الگ تھلگ واقعہ نہیں بلکہ ایک لانچ پیڈ ہے۔ جس حملہ آور کے پاس آپ کی ڈیپلائمنٹ کلیدیں ہوں، اسے آپ کے اکاؤنٹنگ سسٹم میں نقب لگانے کی ضرورت نہیں۔ اسے بس اس میں اپنا خود دستخط شدہ ایک اپ ڈیٹ بھیجنا ہے۔

اصل خلا: ایسے نظام جن کا کوئی مالک نہیں

زیادہ تر درمیانے درجے کی کمپنیوں میں، جن نظاموں کا سکیورٹی جائزہ ہوتا ہے ان کی فہرست وہی ہوتی ہے جو مینیجر جانتا ہے: ویب سائٹ، ایپ، ERP، ای میل۔ ریپوزیٹری سرور، کنٹینیوس انٹیگریشن رنر، اندرونی مانیٹرنگ ڈیش بورڈ اور وہ عارضی فائل سرور جو کسی نے دو سال پہلے ایک فوری تجربے کے لیے کھڑا کیا تھا، یہ سب بغیر کسی مقرر ذمہ دار والے نظام ہیں۔ انہیں پیچ کرنے کی ذمہ داری کسی کی نہیں، کوئی نہیں جانتا کہ ان تک کس کی رسائی ہے، اور یہ کسی بھی فہرست میں درج نہیں۔

بالکل یہیں حملہ آور کام کرتے ہیں۔ جس ٹول کا کوئی مالک نہیں، اسے کوئی اپ ڈیٹ نہیں کرتا، اور جس ٹول کو کوئی اپ ڈیٹ نہیں کرتا وہ اصلاح جاری ہونے کے بعد بھی مہینوں تک غیر محفوظ رہتا ہے۔ یہاں کی ٹائم لائن دیکھیے: اصلاح 1.27.1 میں جاری ہوئی، اور فعال طور پر استحصال شدہ کمزوری کے طور پر اندراج کئی ہفتے بعد ہوا۔ اصلاح کے دستیاب ہونے اور اصلاح کے لاگو ہونے کے درمیان کا وقفہ ہی وہ جگہ ہے جہاں نقب زنی پنپتی ہے۔

اس ہفتے کیا کریں

اس دروازے کو بند کرنے کے لیے کسی بڑے سکیورٹی پروگرام کی ضرورت نہیں۔ اس کے لیے چار ایسے اقدامات درکار ہیں جو آپ کی تکنیکی ٹیم یا آپ کا وینڈر چند دنوں میں مکمل کر سکتا ہے:

  • اپنے سرورز پر چلنے والے ہر اندرونی نظام کی تحریری فہرست طلب کریں، ہر ایک کے ساتھ ایک نامزد ذمہ دار، کوئی شعبہ نہیں بلکہ ایک فرد۔
  • آپ جو بھی اوپن سورس ٹولز چلاتے ہیں ان کا ورژن نمبر اور آخری بار اپ ڈیٹ ہونے کی تاریخ پوچھیں۔ اگر آپ Gitea چلاتے ہیں تو یہ تصدیق کرنا کہ آپ 1.27.1 یا اس کے بعد کے ورژن پر ہیں، دو منٹ کا سوال ہے۔
  • ہر اندرونی ٹول پر خود رجسٹریشن بند کریں۔ کوڈ سرور کے سائن اپ صفحے کے انٹرنیٹ پر کھلے رہنے کی کوئی آپریشنل وجہ نہیں۔
  • ایک ناگوار سوال پوچھیں: اگر اس سرور کی خفیہ معلومات آج چوری ہو جائیں تو ان سب کو تبدیل کرنے میں کتنے دن لگیں گے؟ اگر کوئی جواب نہیں ہے تو جواب یہی ہے کہ آپ ایسا نہیں کر سکتے۔

اس میں ایک ریگولیٹری پہلو بھی شامل کیجیے۔ کمپنی کے اندرونی نظاموں میں عموماً گاہکوں یا ملازمین کا ذاتی ڈیٹا ہوتا ہے، اور ذاتی ڈیٹا کے تحفظ کے قانون (PDPL) کے تحت اس ڈیٹا کی حفاظت ادارے کی قانونی ذمہ داری ہے۔ جو نقب زنی کسی ڈیولپر ٹول سے شروع ہو کر آپ کے گاہکوں کے ڈیٹا بیس تک پہنچتی ہے، اسے اندرونی تکنیکی معاملہ نہیں سمجھا جاتا۔

Origami کا نقطۂ نظر

ہم اس واقعے کو اس بات کی تصدیق کے طور پر دیکھتے ہیں جو ہم ہر پروجیکٹ میں دہراتے ہیں: سکیورٹی تیار شدہ پروڈکٹ میں شامل کی جانے والی کوئی خصوصیت نہیں، بلکہ اس بات کی صفت ہے کہ پروڈکٹ کیسے بنایا گیا ہے۔ ڈٹی رہنے والی کمپنی اور گر جانے والی کمپنی کے درمیان فرق یہ نہیں کہ اس نے کتنے حفاظتی ٹولز خریدے، بلکہ یہ ہے کہ کیا وہ جانتی ہے کہ وہ کیا چلا رہی ہے، اس کا ذمہ دار کون ہے، اور اسے آخری بار کب اپ ڈیٹ کیا گیا تھا۔

اسی لیے ہم نظاموں کی فہرست، ذمہ دار کی تقرری اور پیچنگ پالیسی کو کسی اختیاری اضافے کے بجائے ڈیلیوری کا حصہ سمجھتے ہیں۔ جو کمپنی ایک گھنٹے کے اندر بتا سکے کہ وہ ہر ٹول کا کون سا ورژن چلا رہی ہے، اسے حقیقی آپریشنل برتری حاصل ہوتی ہے، کیونکہ جب اس ہفتے جیسا کوئی اعلان آتا ہے تو اسے فوراً پتا چل جاتا ہے کہ آیا وہ اس پر لاگو ہوتا ہے، بجائے اس کے کہ وہ یہ جاننے میں ایک ہفتہ لگائے۔

نتیجہ

جس خامی نے ایک ریگولیٹر کو سخت ڈیڈ لائن مقرر کرنے پر مجبور کیا، وہ گاہکوں کے سامنے آنے والے کسی انٹرفیس میں نہیں تھی۔ وہ ایک ایسے اندرونی ٹول میں تھی جسے نظروں سے اوجھل سمجھا جاتا تھا۔ یہی سبق ہے: جو نظام کبھی پریزنٹیشن میں نظر نہیں آتے، وہی چابیاں رکھتے ہیں۔ فہرست سے آغاز کریں، ہر نظام کو ایک ذمہ دار دیں، اور پیچنگ کو کسی سرخی پر ردِعمل کے بجائے معمول بنائیں۔ اس قسم کے واقعات سے بچ نکلنے والی کمپنیاں زیادہ ذہین نہیں ہوتیں۔ وہ بس جانتی ہیں کہ ان کے پاس کیا ہے۔

ذرائع