Ing. Calogero Bono
Apple ने iOS 27.2.1 और iPadOS, macOS, watchOS व visionOS के जुड़वाँ अपडेट जारी किए हैं। इनमें कोई नई सुविधा नहीं है, बल्कि सुरक्षा सुधार हैं। शुरुआती नोट बहुत छोटे थे, फिर कंपनी ने पूरा दस्तावेज़ प्रकाशित किया। इसमें iMessage, AirPlay और Bluetooth की खामियाँ हैं, और macOS पर eMudhra प्रमाणपत्रों का मामला भी बंद हुआ है। अब जब ब्यौरे सार्वजनिक हैं, अपडेट करना और भी ज़रूरी हो गया है।
कुछ शब्द, तथ्यों में जाने से पहले। CVE किसी ज्ञात खामी की पहचान करने वाला कोड है। प्रमाणपत्र प्राधिकरण वह संस्था है जो प्रमाणपत्र जारी करती है, जिससे कोई वेबसाइट साबित करती है कि वह असली है। निजी कुंजी वह गुप्त कुंजी है जिससे ऐसे प्रमाणपत्रों पर हस्ताक्षर होते हैं, और इसके लीक होने पर नकली प्रमाणपत्र बनाए जा सकते हैं। कमांड लाइन से मतलब curl और git जैसे उन टूल्स से है जो टर्मिनल पर चलते हैं और सिस्टम के ऐप्स से होकर नहीं गुज़रते। रेट लिमिट वह सीमा है जो किसी कोड जैसे पेयरिंग कोड के प्रयासों पर लगाई जाती है।
Apple ने कौन-से संस्करण जारी किए हैं?
HDblog के अनुसार iOS 27.2.1, iOS 27.2 के दो हफ़्ते बाद आया है और बग व सुरक्षा समस्याएँ ठीक करता है। इसके साथ iPadOS, macOS Golden Gate, watchOS और visionOS 27.2.1 भी आए हैं।
पुराने सिस्टम को भी सुधार मिले हैं, iOS और iPadOS के लिए 26.7.3 और 18.7.12। Mac के लिए macOS Tahoe 26.7.3 और macOS Sequoia 15.8.3 हैं, जबकि watchOS 26 का संस्करण 26.6.1 हो गया है।
हमने पहले 9 नवंबर के अपडेट पैकेज के बारे में लिखा था। इस बीच iOS 27.3 का बीटा जारी है, जिसके बारे में हमने पहले बीटा के मौके पर बताया था।
iMessage की खामियों से क्या हो सकता था?
दो कमज़ोरियाँ iMessage से जुड़ी हैं। CVE-2026-113961 के ज़रिए एक रिमोट हमलावर बिना निमंत्रण के ग्रुप चैट में घुसकर संदेश पा सकता था। CVE-2026-113960 के ज़रिए ग्रुप में जोड़े गए व्यक्ति को उसके शामिल होने से पहले के संदेश भी पढ़ने को मिल सकते थे।
ये स्थितियाँ बातचीत की गोपनीयता पर असर डालती हैं, जिसमें काम से जुड़ी सहकर्मियों और सहयोगियों की बातचीत भी शामिल है।
AirPlay और Bluetooth में क्या समस्याएँ थीं?
MacRumors के अनुसार ज़्यादातर खामियाँ AirPlay और Bluetooth से जुड़ी थीं। एक दुर्भावनापूर्ण Bluetooth उपकरण उपयोगकर्ता की अनुमति के बिना जुड़ सकता था। एक और खामी से पास में मौजूद हमलावर किसी प्रक्रिया की मेमोरी भ्रष्ट कर सकता था।
कई बग AirPlay पेयरिंग कोड पर लगी प्रयास सीमा को पार करने देते थे। HDblog ने App Intents की एक खामी का भी ज़िक्र किया, जिससे कोई ऐप बिना अनुमति संवेदनशील डेटा तक पहुँच सकता था। Apple ने चार कमज़ोरियों का श्रेय खुद लिया है, यानी वे आंतरिक रूप से मिलीं।
macOS में eMudhra का क्या मामला है?
9to5Mac के अनुसार, Mozilla ने भारतीय कंपनी eMudhra द्वारा संचालित आठ मध्यवर्ती प्रमाणपत्र प्राधिकरणों की निजी कुंजियों के समझौते की सूचना दी थी। Apple ने 19 अक्टूबर से प्रमाणपत्र ब्लॉक किए, और 23 तारीख को स्वचालित अपडेट से और सुरक्षा जोड़ी।
फिर भी curl और git जैसे टूल्स खुले रह गए थे, जो वे प्रमाणपत्र स्वीकार कर सकते थे। macOS 27.2.1, 26.7.3 और 15.8.3 यह छेद बंद करते हैं और /etc/ssl/cert.pem से पाँच रूट प्रमाणपत्र हटाते हैं, जिनमें तीन eMudhra के हैं जो शुरुआती मैनुअल समाधान में शामिल नहीं थे।
जिन ऐप्स की अपनी प्रमाणपत्र सूची है, वे Apple के ब्लॉक का पालन नहीं करते, और इसके लिए डेवलपर्स से पूछना होगा।
सीमाएँ जो जाननी ज़रूरी हैं
Apple ने यह नहीं बताया है कि इन खामियों का असल हमलों में इस्तेमाल हुआ या नहीं, और सभी स्रोत इस बात को रेखांकित करते हैं। हमें नहीं पता कि कितने उपकरण वास्तव में असुरक्षित थे, न ही यह कि इनके सार्वजनिक एक्सप्लॉइट मौजूद हैं या नहीं। स्रोत यह भी नहीं समझाते कि हर खामी को अलग-अलग कैसे ठीक किया गया। यह भी देखना बाकी है कि अपने प्रमाणपत्रों वाले कौन-से ऐप्स डेवलपर्स द्वारा सुधारे जाएँगे।
डिजिटल काम करने वालों के लिए क्या बदलता है
iPhone और Mac का इस्तेमाल दफ़्तर में करने वालों को यह अपडेट अभी कर लेना चाहिए। iPhone और iPad पर सेटिंग्स, General, Software Update पर जाएँ। Mac पर System Settings, Software Update खोलें। जो लोग उपकरणों का बेड़ा संभालते हैं, उन्हें इंस्टॉल किए गए संस्करण जाँचने चाहिए, जिनमें iOS 18.7.12 जैसे पुराने संस्करण भी शामिल हैं।
जो डेवलपर्स Mac पर curl या git का इस्तेमाल करते हैं, जैसे build script में, उन्हें macOS अपडेट करना होगा या Apple की मैनुअल प्रक्रिया अपनानी होगी। यदि कोई ऐप अपने रूट प्रमाणपत्र साथ लेकर चलता है, तो उसके बनाने वाले से पूछना ज़रूरी है।
हमारी राय
सुधार सही है, लेकिन तरीका सवाल खड़े करता है। रिलीज़ के समय लगभग खाली नोट और ब्यौरे बाद में देना, आपको अंधेरे में अपडेट करने पर मजबूर करता है, जबकि हमलावर कुछ ही घंटों में पैच की तुलना कर लेते हैं। eMudhra मामले में Apple ने स्वचालित ब्लॉक से अच्छा काम किया, पर टर्मिनल टूल्स को कवर करने में हफ़्तों लगे, जबकि डेवलपर्स उन्हीं का सबसे ज़्यादा इस्तेमाल करते हैं। सर्वर और इन्फ्रास्ट्रक्चर चलाने वालों के लिए यह एक उपयोगी सबक है। प्रमाणपत्र एक शृंखला होते हैं, और एक कमज़ोर कड़ी भी काफ़ी है।
अक्सर पूछे जाने वाले सवाल
क्या iOS 27.2.1 में कोई नई सुविधा है?
नहीं। HDblog के अनुसार यह बग और सुरक्षा समस्याएँ ठीक करता है, कोई नई सुविधा नहीं जोड़ता। नई सुविधाएँ iOS 27.3 में आएँगी, जो अभी बीटा में है।
क्या इन खामियों का असल हमलों में इस्तेमाल हुआ है?
यह ज्ञात नहीं है। Apple ने नहीं कहा कि इनका वास्तविक दुनिया में इस्तेमाल हुआ है। ब्यौरे अब सार्वजनिक हैं, इसलिए जो उपकरण अपडेट नहीं हुए, वे अधिक असुरक्षित हैं।
किन पुराने सिस्टम को सुधार मिले हैं?
iOS और iPadOS के लिए संस्करण 26.7.3 और 18.7.12। Mac के लिए macOS Tahoe 26.7.3 और Sequoia 15.8.3, और watchOS के लिए 26.6.1।
eMudhra प्रमाणपत्रों की समस्या क्या है?
यह आठ मध्यवर्ती प्रमाणपत्र प्राधिकरणों की निजी कुंजियों के समझौते से जुड़ी समस्या है। इन कुंजियों से नकली लेकिन वैध दिखने वाले प्रमाणपत्र बनाए जा सकते थे, जिनसे वेबसाइटों की नकल करके डेटा चुराया जा सकता था।
मैं अपना उपकरण कैसे अपडेट करूँ?
iPhone और iPad पर सेटिंग्स, General, Software Update में जाएँ। Mac पर System Settings खोलकर Software Update चुनें।
iOS 27.2.1 के बाद किन बातों पर नज़र रखें, 27.3 बीटा और अपने प्रमाणपत्रों वाले ऐप्स
पैच आ चुके हैं, पर कहानी अभी खत्म नहीं हुई है। आगे के रिलीज़ और उन ऐप्स का व्यवहार मायने रखेगा जो Apple के ब्लॉक को नहीं मानते।
- जाँचें कि आपके इस्तेमाल के टूल्स अपनी रूट प्रमाणपत्र सूची रखते हैं या नहीं, और डेवलपर्स से पूछें।
- यह देखने के लिए कि और कौन-से सुधार आएँगे, iOS 27.3 के बीटा पर नज़र रखें।
- iMessage, AirPlay और Bluetooth की CVE के लिए सार्वजनिक एक्सप्लॉइट की किसी भी रिपोर्ट पर ध्यान दें।
