एप्पल ने कोडेक्स सिक्योरिटी को श्रेय देते हुए सफारी की 22 कमियों को दूर किया

सफारी 26.6.1 में ठीक की गई वेबकिट की बाईस वल्नरेबिलिटीज में से नौ के लिए एप्पल ने ओपनएआई कोडेक्स सिक्योरिटी को श्रेय दिया है, जो ऑपरेटिंग सिस्टम सुरक्षा रिलीज़ में योगदान देने वाली एआई-सहायता प्राप्त वल्नरेबिलिटी रिसर्च का एक ठोस उदाहरण प्रदान करता है। जैसे-जैसे सॉफ्टवेयर इकोसिस्टम अधिक जटिल होते जाते हैं, ब्राउज़र रेंडरिंग इंजन विशाल अटैक सरफेस प्रस्तुत करते हैं जो पारंपरिक सुरक्षा परीक्षण के लिए चुनौती पेश करते हैं। ऐतिहासिक रूप से, वल्नरेबिलिटी की खोज समर्पित फ़ज़िंग क्लस्टर, मैनुअल कोड ऑडिट और बाहरी बग बाउंटी रिपोर्ट पर निर्भर करती है। पृथक वातावरण में स्वचालित एक्सप्लॉइट वैलिडेशन के साथ कोडबेस-विशिष्ट थ्रेट मॉडलिंग को संयोजित करके, एआई सुरक्षा एजेंट उच्च-जोखिम वाले ब्राउज़र बुनियादी ढांचे में वल्नरेबिलिटी डिस्क्लोजर पाइपलाइनों को बढ़ा रहे हैं।

सफारी 26.6.1 में एप्पल ने क्या ठीक किया: 22 वेबकिट सीवीई का विश्लेषण

एक नज़र में

• एप्पल ने 18 अगस्त, 2026 को सफारी 26.6.1 रिलीज़ किया, जिसमें मैकओएस सोनोमा और मैकओएस सिकोइया में बाईस वेबकिट वल्नरेबिलिटीज का समाधान किया गया।
• नौ सीवीई प्रविष्टियों पर ओपनएआई कोडेक्स सिक्योरिटी (शोधकर्ता एमी बर्नेट) को श्रेय दिया गया, जो सूचीबद्ध सलाहों का लगभग इकतालीस प्रतिशत है।
• इस अपडेट में आउट-ऑफ-बाउंड्स एक्सेस, यूज़-आफ्टर-फ्री स्थितियों, मेमोरी करप्शन और संवेदनशील डेटा लीक सहित कई प्रकार की वेबकिट समस्याओं का समाधान किया गया है।

ब्राउज़र विक्रेता लंबे समय से वल्नरेबिलिटीज की पहचान करने के लिए आंतरिक सुरक्षा अनुसंधान, बाहरी रिपोर्ट और फ़ज़िंग को मिलाते रहे हैं। हालांकि यह प्रभावी है, लेकिन लाखों पंक्तियों के C++ और असेंबली वाले जटिल आधुनिक कोडबेस के साथ मैनुअल कोड समीक्षा तालमेल बिठाने में संघर्ष करती है।

अपने ब्राउज़र इकोसिस्टम में इन वल्नरेबिलिटीज को हल करने के लिए, एप्पल ने आधिकारिक एप्पल सुरक्षा रिलीज़ पेज पर विस्तृत रूप से मैकओएस सोनोमा और मैकओएस सिकोइया के लिए ऑपरेटिंग सिस्टम अपडेट के साथ-साथ सफारी 26.6.1 की सुरक्षा सामग्री को प्रकाशित किया। यह अपडेट वेबकिट (safari को पावर देने वाला ओपन-सोर्स रेंडरिंग इंजन) को प्रभावित करने वाली बाईस कॉमन वल्नरेबिलिटीज एंड एक्सपोज़र्स (CVEs) के लिए फ़िक्स प्रदान करता है।

सफारी 26.6.1 रिलीज़ यह बताती है कि कैसे एआई-सहायता प्राप्त वल्नरेबिलिटी रिसर्च स्थापित सॉफ्टवेयर सुरक्षा वर्कफ़्लो में प्रवेश कर रही है। 9to5Mac के तकनीकी विश्लेषण में रिपोर्ट किए गए अनुसार, बाईस सीवीई में से नौ—अपडेट में सूचीबद्ध वल्नरेबिलिटीज का लगभग इकतालीस प्रतिशत—शोधकर्ता एमी बर्नेट को दिए गए थे जिन्होंने ओपनएआई कोडेक्स सिक्योरिटी का उपयोग किया था। अन्य सुरक्षा योगदान स्वतंत्र अनुसंधान समूहों से आए, जिनमें सिस्को टालोस, सिटाडेलो, आउट ऑफ बाउंड्स, द ट्रेंडएआई ज़ीरो डे इनिशिएटिव, Calif.io और ब्रेज़ सिक्योरिटी टीम शामिल हैं।

अंडर-द-हुड मैकेनिक्स: कोडेक्स सिक्योरिटी ने सफारी 26.6.1 वल्नरेबिलिटी रिसर्च में कैसे योगदान दिया

आर्किटेक्चरल स्तर पर, ब्राउज़र इंजन विशेष रूप से जोखिम में होते हैं क्योंकि वे जटिल मेमोरी और सैंडबॉक्स सीमाओं के साथ बातचीत करते हुए लगातार अविश्वसनीय वेब सामग्री को पार्स करते हैं। वेबकिट अविश्वसनीय एचटीएमएल को पार्स करने, जटिल जावास्क्रिप्ट निष्पादित करने, मेमोरी आवंटन का प्रबंधन करने और ऑपरेटिंग सिस्टम सैंडबॉक्स के भीतर क्रॉस-ऑरिजिन संसाधनों को अलग करने के लिए ज़िम्मेदार है।

सफारी 26.6.1 में हल की गई वल्नरेबिलिटीज वेबकिट समस्याओं की कई अलग-अलग श्रेणियों में आती हैं। उदाहरणों में शामिल हैं:

• आउट-ऑफ-बाउंड्स मेमोरी एक्सेस (CVE-2026-64784): एप्पल के सुरक्षा नोट्स के अनुसार, बेहतर बाउंड्स चेकिंग के साथ एक आउट-ऑफ-बाउंड्स एक्सेस समस्या का समाधान किया गया।
• यूज़-आफ्टर-फ्री वल्नरेबिलिटीज (CVE-2026-64715, CVE-2026-64787): बेहतर मेमोरी प्रबंधन के माध्यम से यूज़-आफ्टर-फ्री समस्या का समाधान किया गया।
• लॉकिंग और इनपुट वैलिडेशन के माध्यम से मेमोरी करप्शन (CVE-2026-64782, CVE-2026-64781): बेहतर लॉकिंग के साथ मेमोरी करप्शन वल्नरेबिलिटी का समाधान किया गया, और बेहतर इनपुट वैलिडेशन के साथ अप्रत्याशित सफारी क्रैश का कारण बनने वाली समस्या को हल किया गया।
• वेबकिट इतिहास संवेदनशील डेटा लीकेज (CVE-2026-64778): बेहतर जाँच के साथ एक वेबकिट इतिहास समस्या का समाधान किया गया जहाँ दुर्भावनापूर्ण रूप से तैयार की गई वेबसाइट पर जाने पर संवेदनशील डेटा लीक हो सकता था।

एप्पल का सुरक्षा रिलीज़ बाईस वेबकिट सीवीई प्रविष्टियों में से नौ पर ओपनएआई कोडेक्स सिक्योरिटी को श्रेय देता है। हालांकि एप्पल प्रत्येक व्यक्तिगत खोज के लिए एक अलग खोज विवरण का खुलासा नहीं करता है, लेकिन क्रेडिट वास्तविक दुनिया के वल्नरेबिलिटी रिसर्च में भाग लेने वाले कोडेक्स सिक्योरिटी का एक ठोस उदाहरण प्रदान करते हैं।

ओपनएआई कोडेक्स सिक्योरिटी के लिए आधिकारिक दस्तावेज़ीकरण के अनुसार, सिस्टम लक्षित रिपॉजिटरी के आर्किटेक्चर और रिपॉजिटरी इतिहास के आधार पर एक प्रोजेक्ट-विशिष्ट थ्रेट मॉडल बनाता है। यह यथार्थवादी निष्पादन पथों का पता लगाने के लिए भाषा-मॉडल तर्क का उपयोग करता है, पृथक परीक्षण वातावरण के भीतर संभावित मुद्दों को मान्य करता है, और मानव समीक्षा के लिए प्रस्तावित पैच को सतह पर लाता है।

नीचे दिया गया आरेख पारंपरिक स्कैनिंग विधियों और संदर्भ-जागरूक वल्नरेबिलिटी खोज के बीच संरचनात्मक अंतर को रेखांकित करता है:

[SAST Pipeline]
Source Code
  └──> Static Rules / Dataflow Analysis
        └──> Reported Findings
              └──> Analyst Triage

[Fuzzing Pipeline]
Target Binary / Harness
  └──> Input Generation & Mutation
        └──> Execution & Coverage
              └──> Crash Triage

[Codex Security Workflow]
Repository Context
  └──> Threat Model & Attack Paths
        └──> Isolated Validation
              └──> Patch Proposal & Human Review

इस दृष्टिकोण का उद्देश्य उन वल्नरेबिलिटीज की जांच करना है जिनका अकेले पृथक स्थिर नियमों से आकलन करना कठिन हो सकता है, विशेष रूप से तब जब सुरक्षा गुण व्यापक सिस्टम संदर्भ और जटिल प्रोग्राम व्यवहार पर निर्भर करते हैं।

एआई-सहायता प्राप्त वल्नरेबिलिटी रिसर्च पारंपरिक स्कैनिंग से कैसे भिन्न है

जैसे-जैसे स्वचालित वल्नरेबिलिटी खोज स्थापित सुरक्षा वर्कफ़्लो में प्रवेश करती है, सुरक्षा आर्किटेक्ट्स को यह समझना चाहिए कि ये टूल सॉफ्टवेयर परीक्षण जीवनचक्र में कैसे काम करते हैं। ये दृष्टिकोण इस बात में भिन्न हैं कि वे वल्नरेबिलिटीज की खोज और सत्यापन कैसे करते हैं।

पद्धतिगत मूल्यांकन: स्टेटिक एनालिसिस, फ़ज़िंग और एआई एजेंट

एआई सुरक्षा एजेंट मौजूदा वल्नरेबिलिटी रिसर्च विधियों को प्रतिस्थापित करने के बजाय उनके पूरक हैं। जबकि SAST टूल स्थिर नियमों, डेटाफ़्लो और प्रोग्राम-विश्लेषण तकनीकों का उपयोग करके स्रोत कोड का विश्लेषण करते हैं, फ़ज़र क्रैश को उजागर करने के लिए जनरेट किए गए या म्यूटेट किए गए इनपुट का उपयोग करके रनटाइम व्यवहार का अभ्यास करते हैं। संदर्भ-जागरूक एजेंट परस्पर जुड़े मॉड्यूल में सिमेंटिक इरादे और निष्पादन तर्क का विश्लेषण करते हैं।

नीचे दी गई तालिका जटिल सॉफ्टवेयर में वल्नरेबिलिटीज की पहचान करने के लिए मानक पद्धतियों की तुलना करती है:

स्वचालित अटैक-पथ अन्वेषण को पृथक सत्यापन के साथ जोड़कर, सुरक्षा एजेंट शोधकर्ताओं को अपस्ट्रीम मेंटेनर्स को सुधार प्रस्ताव सबमिट करने से पहले यह सत्यापित करने में सक्षम बनाते हैं कि क्या कोई सैद्धांतिक कोड विसंगति एक वास्तविक दोष का प्रतिनिधित्व करती है।

इंजीनियरिंग चेकलिस्ट: एआई सुरक्षा एजेंटों को अपनाने से पहले सुरक्षा टीमों को क्या सत्यापित करना चाहिए

उद्यम इंजीनियरिंग वर्कफ़्लो में एआई-सहायता प्राप्त वल्नरेबिलिटी खोज को जिम्मेदारी से एकीकृत करने के लिए, सुरक्षा नेता संरचित परिचालन दिशा-निर्देश स्थापित कर सकते हैं।

सुरक्षा टीमों के लिए कार्यान्वयन चेकलिस्ट

• पृथक सैंडबॉक्स सत्यापन स्थापित करें: सुनिश्चित करें कि सभी एआई सुरक्षा एजेंट अनपेक्षित निष्पादन को रोकने के लिए कड़ाई से विभाजित वातावरण के भीतर सत्यापन वर्कफ़्लो निष्पादित करते हैं।
• मानव-इन-द-लूप समीक्षा लागू करें: परिनियोजन से पहले सभी एआई-जनरेटेड वल्नरेबिलिटी खोजों और प्रस्तावित पैच का मूल्यांकन और सत्यापन करने के लिए अनुभवी सुरक्षा इंजीनियरों की आवश्यकता होती है।
• रिपॉजिटरी और क्रेडेंशियल एक्सेस का दायरा तय करें: स्वचालित एजेंटों के लिए कम से कम-विशेषाधिकार एक्सेस अनुमतियों को कॉन्फ़िगर करें, यह सुनिश्चित करते हुए कि वे उत्पादन क्रेडेंशियल्स तक पहुंच के बिना केवल लक्षित स्रोत कोड का निरीक्षण करते हैं।

शासन और परिचालन निरीक्षण चेकलिस्ट

• सिग्नल-टू-शोर अनुपात का बेंचमार्क करें: इंजीनियरिंग दक्षता सुनिश्चित करने के लिए मौजूदा SAST और गतिशील विश्लेषण पाइपलाइनों के विरुद्ध एआई-जनरेटेड सुरक्षा अलर्ट की गलत-सकारात्मक दर को मापें।
• पारदर्शी सीवीई डिस्क्लोजर बनाए रखें: समन्वित वल्नरेबिलिटी डिस्क्लोजर मानकों का पालन करें, अपस्ट्रीम सॉफ्टवेयर मेंटेनर्स को स्पष्ट पुनरुत्पादन चरणों और मान्य सुधार प्रस्तावों के साथ प्रदान करें।
• ऑपरेटिंग सिस्टम सुरक्षा पैच तुरंत तैनात करें: सुनिश्चित करें कि उद्यम समापन बिंदु विज्ञापित वेबकिट मेमोरी और स्थिति हैंडलिंग दोषों को दूर करने के लिए सफारी 26.6.1 जैसे ब्राउज़र अपडेट प्राप्त करते हैं।

सफारी 26.6.1 रिलीज़ वास्तविक दुनिया के ब्राउज़र सुरक्षा रिलीज़ में योगदान देने वाली एआई-सहायता प्राप्त वल्नरेबिलिटी रिसर्च का एक ठोस उदाहरण प्रदान करती है। मानव शोधकर्ताओं को प्रतिस्थापित करने के बजाय, एआई एजेंट सत्यापन और सुधार को मानव समीक्षा के तहत रखते हुए स्वचालित वल्नरेबिलिटी विश्लेषण के दायरे का विस्तार कर सकते हैं।

सुरक्षा टीमों के लिए, व्यावहारिक सबक यह है कि एकल पहचान पद्धति पर भरोसा करने के बजाय रिपॉजिटरी संदर्भ, वल्नरेबिलिटी सत्यापन और मानव समीक्षा को संयोजित किया जाए। कठोर सैंडबॉक्स परीक्षण और समन्वित डिस्क्लोजर को लागू करके, संगठन सॉफ्टवेयर के उत्पादन वातावरण तक पहुँचने से पहले जटिल वल्नरेबिलिटीज की पहचान कर सकते हैं और उनका समाधान कर सकते हैं।