सार:
विंडोज 11 के अंतर्निहित ड्राइंग टूल माइक्रोसॉफ्ट पेंट में हाल ही में एक गंभीर सुरक्षा भेद्यता का पता चला था। कुछ शर्तों के तहत, एक हमलावर को केवल प्रभावित डिवाइस पर विशेष रूप से निर्मित नेटवर्क डेटा पैकेट भेजने की आवश्यकता होती है, और दुर्भावनापूर्ण कोड को उपयोगकर्ता को इसके बारे में पता चले बिना या किसी फ़ाइल या लिंक पर क्लिक करने की आवश्यकता के बिना दूरस्थ रूप से निष्पादित किया जा सकता है। इससे भी अधिक भ्रमित करने वाली बात यह है कि हालाँकि Microsoft ने एक फिक्स पैच जारी किया है, फिर भी कुछ उपयोगकर्ताओं को Microsoft स्टोर में स्वचालित अपडेट चालू करने पर भी संबंधित अपडेट नहीं मिल सकता है।
इस भेद्यता की संख्या CVE-2026-83844 है। माइक्रोसॉफ्ट ने आधिकारिक तौर पर 13 अक्टूबर, 2026 को इसका खुलासा किया। गंभीरता स्कोर 8.1 अंक (10 अंकों में से) है और इसे "महत्वपूर्ण" स्तर के रूप में वर्गीकृत किया गया है। हालाँकि यह अभी तक माइक्रोसॉफ्ट की "गंभीर" रेटिंग के उच्चतम स्तर तक नहीं पहुंचा है, लेकिन इसके संभावित प्रभाव को नजरअंदाज नहीं किया जा सकता है।
माइक्रोसॉफ्ट द्वारा प्रकाशित सुरक्षा बुलेटिन के अनुसार, भेद्यता एक आउट-ऑफ-बाउंड रीड समस्या है, अर्थात, प्रोग्राम पूर्व निर्धारित मेमोरी क्षेत्र से परे डेटा को पढ़ने का प्रयास करता है। कुछ परिस्थितियों में, एक हमलावर प्रभावित कंप्यूटर पर स्व-लिखित कोड चलाकर रिमोट कोड निष्पादन प्राप्त करने के लिए इस दोष का फायदा उठा सकता है।
माइक्रोसॉफ्ट के हमले के तरीके का वर्णन यह है कि एक अप्रमाणित हमलावर नेटवर्क के माध्यम से प्रभावित सेवा में विशेष रूप से तैयार किए गए डेटा पैकेट भेज सकता है, जिससे भेद्यता ट्रिगर हो सकती है। इसका मतलब यह है कि हमलावर को उपयोगकर्ता को किसी दुर्भावनापूर्ण फ़ाइल को खोलने के लिए धोखा देने की आवश्यकता नहीं है, न ही उसे उपयोगकर्ता द्वारा सक्रिय रूप से कोई कार्रवाई करने के लिए इंतजार करना पड़ता है, इसलिए इसे मीडिया द्वारा "शून्य-क्लिक" भेद्यता कहा जाता है।
हालाँकि, Microsoft ने यह भी बताया कि वास्तव में इस भेद्यता का फायदा उठाना मुश्किल है। विंडोज़ नवीनतम रिपोर्ट के समय तक, वास्तविक दुनिया के हमलों में इस भेद्यता का फायदा उठाने की कोई रिपोर्ट नहीं मिली है। इसलिए, जबकि उपयोगकर्ताओं को जितनी जल्दी हो सके पैच स्थिति की पुष्टि करनी चाहिए, घबराने की कोई जरूरत नहीं है।
वास्तव में चिंताजनक बात पैच वितरण प्रक्रिया में असामान्यता है।
जब माइक्रोसॉफ्ट ने 13 अक्टूबर को भेद्यता का खुलासा किया, तो उसने पहले ही माइक्रोसॉफ्ट स्टोर के माध्यम से एक मरम्मत संस्करण जारी कर दिया था। Microsoft के स्वयं के समर्थन दस्तावेज़ के अनुसार, जब तक पेंट टूल को 11.2609.401.0 या उच्चतर संस्करण में अपग्रेड नहीं किया जाता है, तब तक भेद्यता का समाधान पूरा नहीं किया जा सकता है।
हालाँकि, Windows नवीनतम संपादक ने Microsoft Store स्वचालित अपडेट चालू करके सिस्टम की जाँच की और अभी भी ड्राइंग टूल्स के लिए कोई अपडेट उपलब्ध नहीं पाया। संस्करण की जानकारी देखने के लिए ड्राइंग टूल सेटिंग पृष्ठ में आगे प्रवेश करने के बाद, यह पाया गया कि वर्तमान में स्थापित संस्करण अभी भी 11.2603.251.0 था, जो माइक्रोसॉफ्ट द्वारा निर्दिष्ट सुरक्षित संस्करण से काफी कम था।
इसका मतलब यह है कि भले ही उपयोगकर्ता ने स्वचालित एप्लिकेशन अपडेट चालू कर दिया हो, यह नहीं माना जा सकता है कि पेंटिंग टूल ने सुरक्षा पैच स्थापित किए हैं।
समान समस्याएं कोई अलग घटना नहीं हैं। रिपोर्ट में बताया गया है कि अन्य उपयोगकर्ताओं ने भी बताया कि वे उस दिन माइक्रोसॉफ्ट स्टोर के माध्यम से ड्राइंग टूल अपडेट प्राप्त करने में असमर्थ थे। कुछ आईटी प्रशासकों ने एप्लिकेशन के MSIX इंस्टॉलेशन पैकेज को डाउनलोड करने के लिए तृतीय-पक्ष टूल का उपयोग करने का भी प्रयास किया, लेकिन फिर भी Microsoft द्वारा दावा किया गया फिक्स संस्करण नहीं मिल सका।
यह बिल्कुल स्पष्ट नहीं है कि समस्या क्या है। एक संभावना यह है कि Microsoft स्टोर का अद्यतन वितरण तंत्र विफल हो जाता है, जिसके कारण मरम्मत संस्करण ठीक से प्रदर्शित नहीं होता है; दूसरी संभावना यह है कि Microsoft सुरक्षा बुलेटिन में चिह्नित मरम्मत संस्करण संख्या गलत है, या यहां तक कि एक ऐसा संस्करण भी रिकॉर्ड किया गया है जो वास्तव में उपयोगकर्ताओं को प्रदान नहीं किया गया है।
माइक्रोसॉफ्ट ने अक्टूबर 2026 में जारी विंडोज सुरक्षा अपडेट में 1,000 से अधिक सुरक्षा मुद्दों को ठीक किया है, लेकिन इन सिस्टम अपडेट को इंस्टॉल करने का मतलब यह नहीं है कि ड्राइंग टूल की कमजोरियां भी स्वचालित रूप से ठीक हो जाएंगी। इसका कारण यह है कि पेंट एक एप्लिकेशन है जिसे माइक्रोसॉफ्ट स्टोर के माध्यम से स्वतंत्र रूप से बनाए रखा और अपडेट किया जाता है, और इसका अपडेट तंत्र बिल्कुल विंडोज ऑपरेटिंग सिस्टम के समान नहीं है।
जो उपयोगकर्ता यह पुष्टि करना चाहते हैं कि वे प्रभावित हैं या नहीं, वे Windows PowerShell के माध्यम से पेंट के वास्तविक संस्करण की जांच कर सकते हैं।
पावरशेल खोलें और निम्नलिखित कमांड निष्पादित करें:
Get-AppxPackage -नाम Microsoft.Paint | चयन-ऑब्जेक्ट नाम, संस्करण
यदि प्रदर्शित संस्करण संख्या 11.2609.401.0 या उच्चतर है, तो Microsoft के सुरक्षा दस्तावेज़ के अनुसार, डिवाइस ने पहले ही एक मरम्मत पैच स्थापित कर दिया है। इससे नीचे के इंस्टॉलेशन को अभी भी असुरक्षित माना जाता है।
भले ही माइक्रोसॉफ्ट स्टोर वर्तमान में केवल माइक्रोसॉफ्ट की घोषणा में सूचीबद्ध सुरक्षा संस्करणों की तुलना में कम संस्करण संख्याओं के साथ अपडेट प्रदान करता है, उपयोगकर्ताओं को अभी भी उपलब्ध ड्राइंग टूल का नवीनतम संस्करण स्थापित करना चाहिए। हालाँकि, जब तक Microsoft संस्करण संख्या और अद्यतन वितरण समस्याओं को स्पष्ट नहीं करता, तब तक सिस्टम को सुरक्षित नहीं माना जा सकता क्योंकि ऐप स्टोर दिखाता है कि कोई अपडेट उपलब्ध नहीं है।
इस घटना ने एक बार फिर विंडोज एप्लिकेशन अपडेट सिस्टम में एक वास्तविक समस्या को उजागर किया: ऑपरेटिंग सिस्टम को अपडेट रखने का मतलब यह नहीं है कि सभी अंतर्निहित एप्लिकेशन ने सुरक्षा अपडेट पूरा कर लिया है। Microsoft स्टोर के माध्यम से स्वतंत्र रूप से बनाए गए एप्लिकेशन के लिए, उपयोगकर्ताओं को अभी भी अपने स्वयं के संस्करणों और पैच स्थिति पर ध्यान देने की आवश्यकता है।
हालाँकि ड्राइंग टूल विंडोज़ में केवल एक बुनियादी एप्लिकेशन है, फिर भी यह हमलावरों के शोषण के लिए एक प्रवेश बिंदु बन सकता है। इस भेद्यता के बारे में विशेष रूप से उल्लेखनीय बात न केवल इसकी रिमोट कोड निष्पादन क्षमता है, बल्कि यह तथ्य भी है कि Microsoft ने इसे ठीक करने की घोषणा की है, लेकिन कुछ उपयोगकर्ता सामान्य अपडेट चैनलों के माध्यम से पैच प्राप्त करने में असमर्थ हैं।
टिप्पणियाँ