Android نومبر 2026 سکیورٹی اپ ڈیٹ 216 خامیاں دور کرتی ہے، ایک بغیر کسی ٹیپ کے کام کرتی ہے: کیا آپ کی ٹیم کے فون اپ ڈیٹ ہیں؟

2 نومبر 2026 کو Google نے نومبر کا Android سکیورٹی بلیٹن جاری کیا۔ یہ 216 کمزوریاں دور کرتا ہے، جن میں 23 سنگین اور 193 زیادہ خطرے والی ہیں۔ سب سے بری خامی Framework کمپوننٹ میں ہے، جس کے ذریعے حملہ آور دور بیٹھے فون پر کوڈ چلا سکتا ہے، مالک کے کسی ٹیپ کے بغیر اور بغیر کسی اضافی اجازت کے۔ آج آپ کو جو کرنا ہے وہ آسان ہے: ہر اس ملازم سے، جو Android فون پر کمپنی کی ای میل، WhatsApp Business یا کوئی بینکنگ ایپ کھولتا ہے، کہیں کہ وہ اپ ڈیٹ انسٹال کرے اور چیک کرے کہ سیٹنگز میں «Android سکیورٹی اپ ڈیٹ» کی تاریخ 5 نومبر 2026 یا اس کے بعد کی ہے۔ Android 13 یا اس سے پرانے ورژن والے فون کو یہ درستی نہیں ملے گی، کیونکہ بلیٹن صرف 14 سے 17 تک کے ورژنز کا احاطہ کرتا ہے۔

Google نے ٹھیک ٹھیک کیا درست کیا؟

نومبر 2026 کے Android سکیورٹی بلیٹن کے مطابق درستیاں دو سطحوں پر آتی ہیں۔ 1 نومبر کی سطح 119 کمزوریوں کا احاطہ کرتی ہے، جن میں 8 سنگین ہیں، اور یہ Framework، System اور رن ٹائم جیسے سسٹم کے بنیادی حصوں میں ہیں۔ 5 نومبر کی سطح 97 کمزوریوں کا احاطہ کرتی ہے، جن میں 15 سنگین ہیں، اور یہ Linux کرنل (31 خامیاں) اور چپ بنانے والوں کے کمپوننٹس میں ہیں: MediaTek (30)، Qualcomm (اوپن اور کلوزڈ سورس حصوں میں کل 17)، Imagination (12)، Unisoc (4) اور Arm (3)۔ 5 نومبر کی سطح والا فون دونوں سطحوں کی خامیوں سے محفوظ ہے۔

Google کے مطابق سب سے سنگین خامی (CVE-2026-58868) ریموٹ کوڈ ایگزیکیوشن کا سبب بن سکتی ہے، جس کے لیے نہ اضافی اجازتوں کی ضرورت ہے نہ صارف کی کسی کارروائی کی۔ System سیکشن میں اسی قسم کی دو اور سنگین خامیاں ہیں (CVE-2026-58876 اور CVE-2026-58936)، نیز اجازتیں بڑھانے والی تین سنگین خامیاں بھی۔

ایک پیغام جو کال کاٹ دیتا ہے: WAP Push خامی

سنگین خامیوں میں ایک ڈینائل آف سروس بگ بھی ہے (CVE-2026-58882)۔ CyberInsider کی رپورٹ بتاتی ہے کہ ایک ہی خراب WAP Push پیغام Android کے فون پروسیس کو کریش کرنے کے لیے کافی ہے۔ اس سے جاری کالیں، ہنگامی کالوں سمیت، کٹ جاتی ہیں، جبکہ پیغام ان باکس میں نظر تک نہیں آتا اور وصول کنندہ کو کچھ کھولنا بھی نہیں پڑتا۔ اس سے بھی بری بات یہ کہ بار بار آنے والے پیغامات ری اسٹارٹ کے بعد بھی کریش دوبارہ لا سکتے ہیں۔ تسلی کی بات یہ ہے کہ رپورٹ کو اب تک کوئی حقیقی غلط استعمال نہیں ملا۔ لیکن پروف آف کانسیپٹ کوڈ عوامی ہے، یعنی انکشاف اور حملوں کے درمیان وقت کم ہو سکتا ہے۔

ایک سیلز نمائندے یا ڈیلیوری ڈرائیور کا تصور کیجیے جو سارا دن فون پر کام کرتا ہے، اور ہر بار ایسا پیغام آنے پر اس کی کال کٹ جاتی ہے جسے وہ کبھی دیکھتا ہی نہیں۔ یہ ڈیٹا لیک نہیں، لیکن کام رک جاتا ہے۔

Samsung فونز تک اپ ڈیٹ کب پہنچے گی؟

Samsung نے 3 نومبر کو اپنی نومبر 2026 سکیورٹی مینٹیننس ریلیز شائع کی۔ اس میں Google کی درستیاں اور Samsung Semiconductor کے چار پیچ شامل ہیں، اور کمپنی کے مطابق اس میں Galaxy سے متعلق 24 نکات کا اضافہ کیا گیا ہے۔ لیکن بلیٹن شائع ہونے کا مطلب یہ نہیں کہ ہر ڈیوائس کو اسی دن اپ ڈیٹ مل جائے: یہ ماڈل اور علاقے کے لحاظ سے مرحلہ وار آتی ہے، اور کچھ پرانے ماڈلز کو سکیورٹی اپ ڈیٹس ہر مہینے کے بجائے ہر تین مہینے میں ملتی ہیں۔ اس لیے «کیا تم نے اپ ڈیٹ کیا؟» پوچھ کر مطمئن نہ ہوں۔ سیٹنگز میں نظر آنے والی تاریخ مانگیں۔

اس ہفتے آپ کی کمپنی کے فونز کے لیے 5 اقدامات

• فونز کی فہرست بنائیں: ہر وہ Android فون جس سے کوئی ملازم کمپنی کی ای میل، سسٹمز یا بینکنگ ایپس تک پہنچتا ہے، چاہے وہ کمپنی کا فون ہو یا اس کا اپنا۔
• سکیورٹی تاریخ چیک کریں: Google کے مدد کے صفحے کے مطابق یہ سیٹنگز میں «فون کے بارے میں» یا «سکیورٹی» کے تحت «Android سکیورٹی اپ ڈیٹ» کے نام سے ملتی ہے۔ ہدف 2026-11-05 یا اس کے بعد کی تاریخ ہے، جیسے ہی وہ ماڈل کے لیے دستیاب ہو۔
• Google Play سسٹم اپ ڈیٹ بھی انسٹال کریں: 1 نومبر کی کچھ درستیاں اسی کے ذریعے آتی ہیں، اور یہ انہی سیٹنگز میں اپنی الگ تاریخ کے ساتھ نظر آتی ہے۔
• پرانی ڈیوائسز کو معلوم خطرہ سمجھیں: Android 13 یا اس سے پرانے ورژن پر اٹکا فون اس بلیٹن سے باہر ہے۔ اسے کمپنی کے حساس اکاؤنٹس سے دور رکھیں اور اسے بدلنے کا منصوبہ بنائیں۔
• اصول کو خودکار بنائیں: Microsoft Intune جیسے ڈیوائس مینجمنٹ ٹولز کم از کم سکیورٹی پیچ لیول مقرر کرنے دیتے ہیں، تاکہ پرانی ڈیوائس اپ ڈیٹ ہونے تک ای میل اور سسٹمز سے باہر رہے۔

کیا آپ کی کمپنی کی Android ایپ متاثر ہے؟

یہ خامیاں خود آپریٹنگ سسٹم میں ہیں، آپ کی ایپ میں نہیں، اس لیے ان کی وجہ سے آپ کو اپنا کوڈ بدلنے کی ضرورت نہیں۔ لیکن آپ کی ایپ اسی سسٹم پر چلتی ہے: اگر وہ گاہکوں کا ڈیٹا دکھاتی ہے یا ادائیگیاں لیتی ہے تو بغیر پیچ والا فون آپ کی بنائی ہوئی حفاظت کو کمزور کرتا ہے۔ کچھ بینکنگ ایپس غیر محفوظ ڈیوائسز کو روکنے کے لیے Play Integrity API استعمال کرتی ہیں، اور حساس کاروباری ایپس بھی یہی کر سکتی ہیں۔ اور اگر آپ اسٹور کے باہر کوئی اندرونی ایپ تقسیم کرتے ہیں تو اسٹور کے باہر سے انسٹال کرنے پر Google کی پابندیوں والا ہمارا مضمون بھی پڑھیں۔

Origami کی رائے

زیادہ تر نقب زنی کمپنی کے سرور سے شروع نہیں ہوتی۔ یہ کسی ملازم کی ڈیوائس سے شروع ہوتی ہے، جس میں اس کی ای میل، پیغامات اور پاس ورڈ ہوتے ہیں۔ ماہانہ اپ ڈیٹ مفت ہے اور چند منٹ لیتی ہے، لیکن جس کمپنی میں کوئی اس پر نظر نہیں رکھتا وہاں یہ خود بخود نہیں ہوتی۔ سکیورٹی تاریخ کی جانچ کو ہر مہینے کے آغاز کا ایک طے شدہ کام بنائیں، بالکل مشکوک ای میلز کے جائزے کی طرح جس کا ذکر ہم نے فشنگ ای میلز والے مضمون میں کیا تھا۔ جب ہم کسٹم ایپس اور سسٹمز بناتے ہیں تو کوئی بھی حساس ڈیٹا دکھانے سے پہلے ڈیوائس کی سالمیت اور سسٹم ورژن کی جانچ شامل کرتے ہیں۔ اگر آپ اپنی ٹیم کی ڈیوائسز یا اپنی ایپ کا جائزہ چاہتے ہیں تو ہم سے رابطہ کریں یا ہماری خدمات دیکھیں۔

ذرائع

• Google — Android سکیورٹی بلیٹن، نومبر 2026: کمزوریوں کی تعداد، پیچ لیولز، متاثرہ کمپوننٹس اور Android 14 سے 17 تک کے ورژنز۔
• Samsung — موبائل سکیورٹی اپ ڈیٹس (SMR Nov-2026): اشاعت کی تاریخ، Samsung Semiconductor کے پیچ اور Galaxy کے نکات۔
• Google — Android مدد: Android ورژن چیک اور اپ ڈیٹ کریں: سیٹنگز میں سکیورٹی اپ ڈیٹ کی تاریخ کہاں ملتی ہے۔
• CyberInsider — Android کی نومبر اپ ڈیٹ اور WAP Push خامی: CVE-2026-58882 کیسے کام کرتی ہے اور عوامی پروف آف کانسیپٹ۔