Windows vs Linux vs macOS – कौन सा सिस्टम सबसे सुरक्षित है? 2026 के आंकड़े

Linux में Microsoft से पांच गुना ज़्यादा vulnerabilities रिपोर्ट होती हैं। फिर भी, किसी के patch कर पाने से पहले ही हमलों में ज़्यादा बार Windows की कमज़ोरियों का इस्तेमाल होता है। तीनों सिस्टम में सबसे कम malware Mac पर है, लेकिन 2025 में उस पर नए backdoors 67% बढ़ गए। अगर यह विरोधाभास लगता है, तो इसकी वजह यह है कि “सबसे सुरक्षित सिस्टम” की ज़्यादातर रैंकिंग्स वह नहीं गिनतीं जो गिनना चाहिए। 💥

फैन्स की एक और लड़ाई के बजाय मैंने 2025 और 2026 के ठोस आंकड़े इकट्ठा किए: हर सिस्टम में कितनी कमज़ोरियां (vulnerabilities) आती हैं, उनमें से कितनी असली हमलों में इस्तेमाल होती हैं, उसके लिए कितना malware बनता है, कंपनियां कितनी तेज़ी से patch करती हैं और इसके पीछे कितने लोग (और कितना पैसा) हैं। हर आंकड़े का सोर्स और साल दिया है।

तुलना से पहले: तीन बातें जो हर रैंकिंग बिगाड़ देती हैं

इंटरनेट पर ज़्यादातर “सिस्टम सुरक्षा रैंकिंग” एक ही गलती करती हैं: बिना संदर्भ के कच्चे आंकड़े गिनती हैं। इसलिए पहले तीन शर्तें, जिनके बिना बाकी पोस्ट बेईमानी होगी।

पहली, मार्केट शेयर। अपराधी भी एक बिज़नेसमैन है। वह malware वहीं लिखता है जहां ग्राहक हैं।

दूसरी, Linux “डेस्क वाला” सिस्टम नहीं है। लैपटॉप पर 4.5%, लेकिन ज़्यादातर सर्वर, क्लाउड, राउटर और edge डिवाइस इसी पर चलते हैं। यानी हम उस सिस्टम की तुलना कर रहे हैं जिस पर लोग attachments पर क्लिक करते हैं, उस सिस्टम से जो databases संभालता है और 24/7 इंटरनेट पर खुला रहता है। ये अलग attack surface हैं और अलग तरह के अपराधी।

तीसरी, कौन गिनता है और कैसे गिनता है। इस पर अभी बात करेंगे, क्योंकि पूरी तुलना का यही सबसे बड़ा जाल है।

सबक नंबर 1: “कौन सा सिस्टम सबसे सुरक्षित है?” इस सवाल का कोई जवाब नहीं है, जब तक आप यह न जोड़ें: “किससे, किस भूमिका में और किसके हाथों में”। आगे हम ईमानदारी से गिनेंगे, लेकिन इन तीन शर्तों को याद रखें।

राउंड 1: किसमें सबसे ज़्यादा कमज़ोरियां (CVE) हैं?

गैर-तकनीकी पाठकों के लिए: CVE कमज़ोरियों का एक सार्वजनिक, वैश्विक कैटलॉग है। हर सामने आई कमज़ोरी को एक नंबर मिलता है, ताकि सब एक ही bug की बात करें। 2025 में रिकॉर्ड संख्या में CVE जुड़े: 48,185।

और कंपनी के हिसाब से तस्वीर कैसी है?

पहली प्रतिक्रिया: “Linux में Windows से पांच गुना ज़्यादा कमज़ोरियां हैं, बहस खत्म”। और यहीं आता है जाल नंबर तीन।

Linux में इतने CVE “क्यों” हैं

फरवरी 2024 में Linux kernel प्रोजेक्ट खुद एक CNA बन गया, यानी ऐसा संगठन जो अपने bugs को खुद CVE नंबर देता है। और उसने एक नियम अपनाया, जिसे Greg Kroah-Hartman (stable branch के maintainer) सीधे शब्दों में समझाते हैं: kernel में लगभग हर bug सुरक्षा bug निकल सकता है, इसलिए हर उस fix को CVE नंबर मिलता है जिसका ऐसा असर हो सकता है। टीम कम देने की बजाय ज़्यादा देना पसंद करती है। नतीजा: 2024 में kernel हर हफ़्ते लगभग 60 CVE जारी करता था, जुलाई 2026 में उसने लगभग 30 घंटों में 432 CVE प्रकाशित किए, और सितंबर की Kernel Recipes 2026 कॉन्फ़्रेंस के talk preview में Kroah-Hartman ने एक ग्राफ़ दिखाया, जिसके मुताबिक एक kernel release पर CVE की संख्या 6.x दौर के लगभग 500 से बढ़कर 7.2 पर 1,500 से ज़्यादा हो गई है और 2,000 के करीब पहुंच रही है – आंशिक रूप से इसलिए कि kernel का कोड (40 मिलियन से ज़्यादा लाइनें) अब AI टूल्स भी खंगाल रहे हैं। कॉन्फ़्रेंस में ही वे रोज़ 33 CVE की रफ़्तार की बात कर चुके थे।

Microsoft और Apple उल्टा करते हैं: वे CVE सिर्फ़ उसे देते हैं जिसे वे कमज़ोरी मानते हैं, और कई security fixes बिना अलग नंबर के cumulative updates में आ जाते हैं। Apple की तो सालों तक इस बात के लिए आलोचना होती रही कि वह बहुत कम बताता है कि असल में क्या patch कर रहा है।

इसके अलावा Linux में ऐसे हार्डवेयर के हज़ारों drivers हैं, जिन्हें आप कभी देखेंगे भी नहीं। उन 3,649 CVE का बड़ा हिस्सा ऐसे modules से जुड़ा है जो आपके सर्वर में load भी नहीं होते।

सबक नंबर 2: CVE की संख्या यह मापती है कि प्रोजेक्ट अपने कोड को कितनी बारीकी से देखता है और उसके बारे में कितनी ईमानदारी से बताता है, यह नहीं कि उसमें कितने छेद हैं। अगर कोई आपको सिर्फ़ CVE पर बनी “सबसे कमज़ोर सिस्टम” की रैंकिंग दिखाता है, तो वह आपको पारदर्शिता की रैंकिंग दिखा रहा है। यह आपकी कंपनी के लिए भी अहम है: जो auditor scanner रिपोर्ट में CVE गिनता है, वह भी यही गिन रहा है।

राउंड 2: किन कमज़ोरियों पर सच में हमला होता है?

जब कच्चे CVE गुमराह करते हैं, तो उस लिस्ट को देखते हैं जो झूठ नहीं बोलती: CISA KEV, यानी अमेरिकी एजेंसी का कैटलॉग उन कमज़ोरियों का, जिनके बारे में पक्का है कि उनका इस्तेमाल असली हमलों में हो रहा है। और Google Threat Intelligence Group की सालाना रिपोर्ट zero-day पर, यानी वे कमज़ोरियां जिनका इस्तेमाल patch आने से पहले ही हमलों में हो गया।

और अब तस्वीर पलट जाती है। Linux में सबसे ज़्यादा CVE हैं, लेकिन उनमें से एक प्रतिशत का भी छोटा सा हिस्सा ही असल में इस्तेमाल होने वाली लिस्ट तक पहुंचता है। Microsoft में पांच गुना कम CVE हैं, लेकिन सबसे ज़्यादा असली हमले वाली कमज़ोरियां उसी की हैं – 2025 में KEV में 39 नई एंट्री, किसी भी और से ज़्यादा, और पूरे कैटलॉग में (2025 के अंत तक 1,484 एंट्री) Microsoft के प्रोडक्ट्स की 350 एंट्री, लगभग 24%। अक्टूबर 2026 के मध्य तक कैटलॉग में 1,748 एंट्री हो चुकी थीं, जिनमें से 390 Microsoft के प्रोडक्ट्स हैं (Apple: 95, Google: 75, Linux kernel: 31)। सिर्फ़ 2026 में ही 264 एंट्री जोड़ी गईं – पूरे 2025 से ज़्यादा।

Zero-day के साथ भी यही है: 2025 में इस्तेमाल हुए 90 में से 25 Microsoft के प्रोडक्ट्स में थे, 11 Google के, 8 Apple के। ऑपरेटिंग सिस्टम सबसे ज़्यादा निशाना बनने वाली कैटेगरी थे – डेस्कटॉप सिस्टम में 24 zero-day और मोबाइल में 15।

एक बार फिर ईमानदारी से: Microsoft सिर्फ़ Windows नहीं है। उन 39 एंट्री में SharePoint, Exchange, Office भी हैं। लेकिन Windows के अपने क्लासिक भी हैं: CLFS driver, MMC console, SMB। और एक बात जो ये लिस्ट नहीं दिखातीं: CISA ने अक्टूबर 2025 में पुष्टि की कि ransomware ग्रुप Linux kernel की कमज़ोरी CVE-2024-1086 का इस्तेमाल कर रहे हैं। KEV में सात एंट्री कम हैं, लेकिन हर एक उन सर्वरों से जुड़ी है जिन पर आपका सब कुछ रखा है।

सबक नंबर 3: हमलावर के नज़रिए से यह मायने नहीं रखता कि सिस्टम में कितनी कमज़ोरियां हैं, बल्कि यह कि उनमें से कितनी का फ़ायदा उठाना मुनाफ़े का सौदा है। Windows दुनिया के 76% डेस्क पर है, इसलिए Windows exploit का बाज़ार सबसे बड़ा है। यह Microsoft पर आरोप नहीं, अर्थशास्त्र है। आपके लिए इसका मतलब: KEV लिस्ट के हिसाब से patch करें, scanner में CVE की गिनती के हिसाब से नहीं। 48 हज़ार की जगह साल में 245 एंट्री।

राउंड 3: हर सिस्टम के लिए कितना malware बनता है?

यहां आंकड़े सबसे बेरहम हैं और सबसे कम चौंकाने वाले। AV-TEST इंस्टीट्यूट (AV-ATLAS प्रोजेक्ट) हर दिन 4,50,000 से ज़्यादा नए malicious सैंपल दर्ज करता है। सिस्टम के हिसाब से उसकी पिछली पूरी रिपोर्ट ऐसी दिखती है:

Windows: macOS से पांच हज़ार गुना और Linux से 35 गुना ज़्यादा नया malware। मामला खत्म? पूरी तरह नहीं, क्योंकि सैंपल की संख्या उत्पादन के बारे में बताती है, न कि इस बारे में कि असल में सेंधमारी कहां होती है। और यहां दो ट्रेंड हैं जो तस्वीर बदल देते हैं।

Mac अब “सुरक्षित, क्योंकि कम लोग इस्तेमाल करते हैं” नहीं रहा

2025 में Mac का मार्केट शेयर 16% बढ़ा और अपराधियों ने इस पर ध्यान दिया। Jamf (Security 360, 2026) और Moonlock Lab (MacPaw) की रिपोर्ट्स से:

• Jamf Threat Labs ने सिर्फ़ 2025 में Mac के 26 हज़ार से ज़्यादा malware सैंपल अपने डेटाबेस में जोड़े; macOS पर पकड़े गए malware में trojans अब आधा हिस्सा हैं, और infostealers (ऐसे प्रोग्राम जो पासवर्ड, session cookies और crypto wallets चुराते हैं) एक साल पहले 28% बढ़े थे।
• Moonlock ने 2025 में macOS पर नए backdoor variants में 67% बढ़ोतरी और stealers में 17% बढ़ोतरी दर्ज की; AtomicStealer (AMOS) और उसके forks लगभग 30% detections के लिए ज़िम्मेदार हैं, और VirusTotal पर macOS के 40% से ज़्यादा सैंपल इन्हीं के हैं।
• फरवरी 2026 में Microsoft ने भी macOS पर infostealers (AMOS, MacSync, DigitStealer) की बढ़ती लहर की चेतावनी दी, जो Google ads और “ClickFix” ट्रिक के ज़रिए फैलाए जाते हैं (वेबसाइट आपसे खुद terminal में कमांड पेस्ट करवाती है)।

Mac malware आज subscription वाला प्रोडक्ट है: एक stealer की कीमत लगभग 1,000 डॉलर महीना है, और Mac से चुराए गए पासवर्ड कुछ दर्जन डॉलर प्रति सेट बिकते हैं। पांच साल पहले यह बिज़नेस मौजूद नहीं था।

Linux: कम सैंपल, बड़े निशाने

Elastic Security की telemetry (2023 रिपोर्ट) ने कुछ ऐसा दिखाया जो Linux की भूमिका को अच्छी तरह समझाता है: malware signatures की 91% घटनाएं Linux endpoints से आईं (यानी सर्वरों से), जबकि 94% behavioral alerts, यानी संदिग्ध व्यवहार के detections, Windows से आए और 3% macOS से। Windows पर यूज़र पर हमला होता है, Linux पर सर्विस पर।

और ransomware? सालों तक यह “Windows की” खासियत रहा। आज ग्रुप सीधे VMware ESXi hypervisors (जिनके नीचे Linux है) ढूंढते हैं, क्योंकि एक host को encrypt करने का मतलब है एक साथ दर्जनों virtual machines को encrypt करना। Huntress की telemetry के मुताबिक encryption घटनाओं में hypervisors का हिस्सा 2025 की पहली छमाही के 3% से बढ़कर दूसरी छमाही में 25% हो गया (दूसरी छमाही का आंशिक डेटा, दिसंबर 2025 में प्रकाशित)। Check Point Research ने भी यही देखा: Linux ransomware बनाना Windows वाले से आसान है, क्योंकि उसे एंटीवायरस से बचना नहीं पड़ता – वह खास, बड़े संगठनों के लिए बनाया जाता है।

सबक नंबर 4: Windows आम बाज़ार है, macOS उभरता बाज़ार है, Linux “प्रतिष्ठा” है – कम हमले, लेकिन हर एक कंपनी के दिल पर। अगर आपकी कंपनी में Windows वाले 200 लैपटॉप, मैनेजमेंट और क्रिएटिव टीम में 30 Mac और Linux वाले 5 सर्वर हैं, तो आपके पास तीन अलग समस्याएं हैं, न कि एक “सुरक्षित” और दो “असुरक्षित” सिस्टम। टेस्ट में मैं जो सबसे बुरा परिदृश्य देखता हूं: मैनेजमेंट के Mac बिना किसी EDR के (“क्योंकि Mac है”) और एक Linux सर्वर जिसे deployment के बाद से किसी ने update नहीं किया (“क्योंकि Linux है”)।

राउंड 4: वे कितनी तेज़ी से patch करते हैं?

इस राउंड का सबसे दिलचस्प डेटा Google Project Zero से आया – यह टीम कंपनियों को कमज़ोरियां रिपोर्ट करती है, patch के लिए 90 दिन की डेडलाइन देती है और फिर सार्वजनिक रूप से हिसाब देती है कि किसने समय पर काम किया। ऐसे पिछले सामूहिक हिसाब में (2019-2021 में रिपोर्ट किए गए bugs) नतीजा साफ़ था:

यह फ़र्क कहां से आता है? fixes जारी करने के मॉडल से:

• Linux हर हफ़्ते stable kernel के नए वर्ज़न जारी करता है, और distributions (Debian, Ubuntu, Red Hat) लगभग रोज़ अपने updates जोड़ते हैं। एक fix आमतौर पर कोड की कुछ लाइनें होता है (median: 4 लाइनें जोड़ी, 2 हटाई – टोरुन की निकोलस कोपरनिकस यूनिवर्सिटी (UMK) और AWS के शोधकर्ताओं के 6,464 kernel CVE के विश्लेषण से) और किसी “विंडो” का इंतज़ार नहीं करता।
• Microsoft के पास Patch Tuesday है: महीने के दूसरे मंगलवार को एक बड़ा पैकेज (2025 में कुल 1,139 CVE, और 2026 में नए रिकॉर्ड: जुलाई – 570, सितंबर – 973, अक्टूबर – एक ही पैकेज में 1,400 से ज़्यादा, आंशिक रूप से इसलिए कि Microsoft AI की मदद से अपने ही कोड में कमज़ोरियां खोजता है)। फ़ायदा: admins को पता होता है कि कब तैयार रहना है। नुकसान: Patch Tuesday के एक दिन बाद रिपोर्ट हुई कमज़ोरी एक महीना इंतज़ार करती है, जब तक कि उसका सक्रिय रूप से इस्तेमाल न हो रहा हो – तब fix साइकिल के बाहर आता है।
• Apple अनियमित रूप से, थोक में और सभी सिस्टम एक साथ patch करता है (macOS, iOS, watchOS)। अगस्त 2026 का छोटा, “point” update iOS 26.6.1 भी 42 कमज़ोरियां बंद कर रहा था। फ़ायदा है ऊंचा adoption – Apple यूज़र जल्दी और बड़े पैमाने पर update करते हैं।

जो patch किसी ने install नहीं किया, वह मौजूद ही नहीं है

और यहां इस राउंड का सबसे अहम आंकड़ा, जो कंपनी से नहीं, हमसे जुड़ा है। Windows 10 का support 14 अक्टूबर 2025 को खत्म हो गया। एक साल बाद, सितंबर 2026 में, Windows 10 दुनिया भर में Windows वाले 27.8% कंप्यूटरों पर अब भी चल रहा है (Windows 7, जो 2020 से मृत है, 0.55% पर)। ईमानदारी से: इनमें से कुछ को अब भी patch मिलते हैं। Microsoft extended support प्रोग्राम (ESU) चलाता है, और जून 2026 में उसने चुपचाप घरेलू यूज़र्स के लिए इसे एक और साल, 12 अक्टूबर 2027 तक बढ़ा दिया। मुफ़्त, बशर्ते किसी ने इसके लिए साइन-अप किया हो (Microsoft account और Windows backup चालू होना काफ़ी है)। कंपनियां ESU के लिए अलग से भुगतान करती हैं। इन 28% में से कितने कंप्यूटर सच में प्रोग्राम में हैं, यह Microsoft नहीं बताता। बस इतना पता है कि जिसने साइन-अप नहीं किया, उसे एक साल से कुछ नहीं मिल रहा – और Windows 11 का हर Patch Tuesday उसके लिए इस्तेमाल करने लायक छेदों का नक्शा है, क्योंकि ज़्यादातर fixes साझा कोड से जुड़े होते हैं।

Linux की तरफ़ एक अलग गुनाह है: पुराने LTS kernels। उसी रिसर्च ने दिखाया कि नए वर्ज़न वाले kernel को fixes तेज़ी से मिलते हैं, जबकि पुरानी branches में अनसुलझे CVE “जमा” होते जाते हैं। अगर आपका सर्वर पांच साल पुराने kernel पर है, क्योंकि “चल रहा है, मत छेड़ो”, तो kernel टीम की रफ़्तार आपके किसी काम की नहीं।

सबक नंबर 5: कंपनियों की दौड़ में सबसे तेज़ Linux है, Apple adoption से भरपाई करता है, Microsoft सबसे धीमा है, लेकिन सबसे अनुमान लगाने लायक। यूज़र्स की दौड़ में हम सब एक जैसे हारते हैं: Windows 10 वाले 28% कंप्यूटर Microsoft की गलती नहीं हैं। अगर आपकी कंपनी में ऐसा एक भी कंप्यूटर है, तो यह आपके risk register की एक एंट्री है।

राउंड 5: इसके पीछे कौन है – लोग और पैसा

यह सवाल हाल ही में एक क्लाइंट ने मुझसे पूछा: “असल में कितने लोग इस सिस्टम की निगरानी करते हैं?”। जवाब दोनों तरफ़ से चौंकाता है।

2023 में Storm-0558 सेंधमारी (एक चीनी ग्रुप Exchange Online के ज़रिए अमेरिकी सरकार के ईमेल पढ़ रहा था) और अमेरिकी CSRB बोर्ड की कड़ी रिपोर्ट के बाद, जिसमें कहा गया कि कंपनी में “सुरक्षा को कम प्राथमिकता देने वाली संस्कृति” थी, Microsoft ने इतिहास का सबसे बड़ा security इंजीनियरिंग प्रोजेक्ट घोषित किया: 34 हज़ार पदों के बराबर काम, हर कर्मचारी के सालाना मूल्यांकन में सुरक्षा शामिल, 13 deputy CISO। साथ ही पिछले साल bug bounty में रिकॉर्ड 20 मिलियन डॉलर।

Apple अपनी टीम के बारे में कुछ नहीं बताता, लेकिन पैसे से बोलता है: “zero-click” exploit chain के लिए 2 मिलियन डॉलर आज इंडस्ट्री का सबसे ऊंचा रेट है, और 2020 से कंपनी 800 से ज़्यादा रिसर्चर्स को 35 मिलियन डॉलर दे चुकी है (प्रति रिपोर्ट औसतन लगभग 44 हज़ार)। यह सोची-समझी रणनीति है: Apple उन exploit brokers से मुकाबला करता है, जो यही कमज़ोरियां spyware कंपनियों को बेचते हैं।

और Linux? हर kernel release पर कुछ हज़ार developers काम करते हैं, ज़्यादातर Intel, Google, Red Hat, Oracle या Huawei की नौकरी में। लेकिन security टीम मुट्ठी भर अनुभवी subsystem maintainers की है, जो – जैसा Kroah-Hartman बताते हैं – निजी हैसियत से काम करते हैं और रिपोर्ट्स के बारे में अपने employers को भी तब तक नहीं बता सकते, जब तक वे ठीक न हो जाएं। CVE नंबर तीन-चार लोग देते हैं, जो stable branch के हर commit की समीक्षा करते हैं। सिर्फ़ kernel के लिए bug bounty नहीं है; अप्रत्यक्ष प्रोग्राम हैं, जैसे Google kernelCTF (Google के configuration वाले kernel पर exploits के लिए) या सामुदायिक Internet Bug Bounty।

सबक नंबर 6: बजट सीधे सुरक्षा नहीं खरीदता। इतिहास की सबसे बड़ी security टीम वाली कंपनी के पास साथ ही KEV में सबसे ज़्यादा एंट्री हैं, और चार लोगों की CVE टीम वाला प्रोजेक्ट सबसे तेज़ patch करता है। फ़र्क पैसे में नहीं, मॉडल में है: open source कोड, छोटा fix, साप्ताहिक release बनाम एक अरब डिवाइस, 90 के दशक तक की backward compatibility और cumulative updates। आपकी कंपनी में भी यही नियम लागू होता है: वह नहीं जीतता जिसके पास security का सबसे बड़ा बजट है, बल्कि वह जिसके पास “हमें कमज़ोरी का पता है” से “patch हो गया” तक का सबसे छोटा रास्ता है।

बोनस: Pwn2Own, यानी जब सेंधमारी के पैसे मिलते हैं तो क्या गिरता है

अगर आप देखना चाहते हैं कि असली लड़ाई में “सुरक्षा” कैसी दिखती है, तो Pwn2Own देखिए – एक प्रतियोगिता, जहां रिसर्चर पूरी तरह patch किए गए सिस्टम इनाम के लिए तोड़ते हैं। मई 2026 में बर्लिन में, तीन दिनों में: 47 zero-day और लगभग 1.3 मिलियन डॉलर के इनाम। Windows 11 पांच बार गिरा (हर बार privilege escalation), Red Hat Enterprise Linux कई बार, Microsoft Exchange 200 हज़ार में गया, और Safari पर हमले की कोशिशें… समय सीमा में पूरी नहीं हुईं। इसलिए नहीं कि Windows “बदतर” है, बल्कि इसलिए कि रिसर्चर सबसे ज़्यादा exploits उसी के लिए तैयार करते हैं। उसी वजह से, जिससे अपराधी करते हैं।

नया खिलाड़ी: आपके कंप्यूटर पर AI agent 😈

अब तक मैं सिस्टम की तुलना कर रहा था। लेकिन 2026 में हर एक पर – Windows, Linux और Mac – अब ज़्यादा से ज़्यादा एक नया किरायेदार रहता है: AI agent। Claude Code, Codex, Gemini CLI, Cursor। यह फ़ाइलें पढ़ता है, terminal में कमांड चलाता है, packages install करता है। यह आपकी permissions के साथ काम करता है, और अक्सर क्लाउड और GitHub की आपकी keys के साथ। हमलावर के लिए यह न Windows है, न Mac। यह एक नया, बेहद privileged attack surface है, जिसे ऑपरेटिंग सिस्टम आपसे अलग पहचानता ही नहीं।

Reddit की कहानी: एक miner जिसे दो महीने तक किसी ने नहीं देखा

अक्टूबर 2026 में Reddit के एक यूज़र ने बताया कि उसका Mac 112°C तक गर्म हो रहा था। उसने Claude Code की मदद से तापमान मॉनिटर करने का एक ऐप बनाया और टेस्टिंग के दौरान agent ने दोषी को ढूंढ लिया: Monero cryptocurrency का miner (XMRig), जो लगभग 1175% CPU खा रहा था, यानी प्रोसेसर के लगभग 12 cores। उसे एक LaunchAgent (macOS में autostart का तरीका) एक encoded script के साथ चला रहा था, जो process को हर बार kill करने पर miner को फिर से शुरू कर देता था। screenshot के मुताबिक यह एंट्री अगस्त के अंत से सिस्टम में थी।

यह कहां से आया – पता नहीं चला। कमेंट्स में कुछ लोगों ने खुद agent पर भी शक किया, और Macworld ने यह बात सीधे हेडलाइन में डाल दी। अगस्त की तारीख इस ओर इशारा करती है कि miner Mac पर पहले से था, लेकिन किसी ने इसकी पुष्टि नहीं की: यह एक व्यक्ति का बयान है, बिना फ़ाइल hashes और बिना विश्लेषण के। मेरे लिए यहां दो बातें एक साथ सबसे दिलचस्प हैं। पहली, किताबी पैटर्न: बिना EDR वाला Mac, “क्योंकि Mac पर वायरस नहीं होते”, दो महीने तक किसी और के लिए cryptocurrency माइन करता रहा। दूसरी, यह तथ्य कि इंटरनेट का पहला सवाल था “कहीं यह AI तो नहीं?”। और यह सवाल पूरी तरह जायज़ है।

Binance: एक जॉब इंटरव्यू, एक internal AI और $6.3 बिलियन

सबसे दमदार उदाहरण इस पोस्ट के प्रकाशित होने से कुछ ही दिन पहले आया। 3 नवंबर 2026 को Binance ने बताया कि 29 अक्टूबर को उसने लगभग $6.3 बिलियन कैसे गंवाए – यह फरवरी 2025 में Bybit के पिछले रिकॉर्ड से चार गुना से भी ज़्यादा है। FBI ने इस हमले के लिए उत्तर कोरिया को ज़िम्मेदार ठहराया। ग्राहकों का कोई पैसा नहीं गया, क्योंकि Binance ने नुकसान अपने फ़ंड से भरा। Binance की रिपोर्ट के मुताबिक घटनाक्रम कुछ इस तरह था:

1. जून 2026: wallet infrastructure पर काम करने वाले एक इंजीनियर ने एक AI टूल ढूंढते हुए Homebrew (developers का लोकप्रिय package manager) का नकली installer डाउनलोड कर लिया। Binance ने संक्रमण पकड़ लिया और credentials बदल दिए, लेकिन हमलावर तब तक जान चुके थे कि वह कौन है और किसके साथ काम करता है।
2. सितंबर 2026: दूसरे इंजीनियर को एक job platform के ज़रिए ऑफ़र मिला। पहला इंटरव्यू – “HR” के साथ एक सामान्य वीडियो कॉल। दूसरा – एक messenger पर, एक ऐसी कंपनी के “CEO” के साथ जो असल में थी ही नहीं, और आखिर में उसने एक recruitment assignment भेजा। इंजीनियर ने वह repository अपने काम के कंप्यूटर पर डाउनलोड कर ली। Setup के दौरान ऐसा कोड चला जिसने एक असली developer टूल का एक हिस्सा बदल दिया, हमलावरों के server से जुड़ गया और अपने निशान मिटा दिए। Malware पकड़ा नहीं गया।
3. 20 अक्टूबर: उस कंप्यूटर से हमलावरों ने Binance के internal AI टूल का दुरुपयोग करके दो और इंजीनियरों के कंप्यूटरों पर कब्ज़ा कर लिया। ठीक-ठीक कैसे – यह Binance ने नहीं बताया।
4. 29 अक्टूबर: कब्ज़े वाले एक कंप्यूटर पर उन्हें container deployment token मिला, उन्होंने अपनी script चलाई और internal transaction signing service में घुस गए। Hot wallets से transfers में चार घंटे से भी कम लगे।

ध्यान दीजिए कि इसमें “ऑपरेटिंग सिस्टम हैकिंग” कितनी कम है। Windows या macOS में कोई zero-day नहीं था। था तो एक नकली recruitment, repository में रखा एक होमवर्क और कंपनी का एक AI agent, जिसकी पहुंच एक साथ बहुत सारे कंप्यूटरों तक थी। हमलावरों को खुद एक मशीन से दूसरी मशीन पर कूदना भी नहीं पड़ा – यह काम उनके लिए उस टूल ने कर दिया, जिस पर कंपनी में हर कोई भरोसा करता था। 😈

Malware जो आपके AI का इस्तेमाल करता है

यह थ्योरी नहीं है, इसका एक और सबूत अगस्त 2025 में ही आ चुका था। हमलावरों ने लोकप्रिय developer टूल Nx (हर हफ़्ते लाखों downloads) की publishing प्रक्रिया पर कब्ज़ा किया और संक्रमित वर्ज़न जारी किए। Installation script यह जांचती थी कि कंप्यूटर पर terminal वाले AI टूल्स – Claude, Gemini, Amazon Q – install हैं या नहीं, और उन्हीं से डिस्क खंगालने को कहती थी, SSH keys, tokens, पासवर्ड वाली फ़ाइलें और crypto wallets ढूंढने के लिए। निशाने पर Linux और macOS थे। “s1ngularity” नाम के इस अभियान का नतीजा: 2,180 GitHub accounts और 7,200 repositories पर कब्ज़ा, जिनमें 6,700 private थीं, जिन्हें हमलावरों ने public कर दिया। Wiz के शोधकर्ताओं ने देखा कि अपराधी लगातार prompts सुधार रहे थे, क्योंकि models कभी-कभी कमांड मानने से मना कर देते थे।

आसान भाषा में: malware को अब खुद यह जानने की ज़रूरत नहीं थी कि कहां ढूंढना है। बस उसने वहीं मौजूद assistant से पूछ लिया।

MCP, यानी ऐसे plugins जो सब कुछ देखते हैं

AI agents दुनिया से MCP (Model Context Protocol) के ज़रिए जुड़ते हैं – यह plugins जैसा कुछ है, जो उन्हें ईमेल, repositories, databases या क्लाउड तक पहुंच देता है। और यहां कहानी वैसे ही दोहराई जाती है, जैसे add-ons के हर नए ecosystem के साथ:

• सितंबर 2025: Postmark (ईमेल भेजने की सर्विस) का रूप धरने वाला एक नकली MCP सर्वर हर संदेश में हमलावर के लिए एक छिपी कॉपी जोड़ देता था। Invoices और अंदरूनी पत्राचार लीक हुए।
• मई 2025: public GitHub repository में बस एक तैयार की गई रिपोर्ट (issue) काफ़ी थी। MCP के ज़रिए पहुंच वाले AI agent ने उसे पढ़ा, उसे कमांड समझा और private repositories का डेटा एक public pull request में डाल दिया। यह है prompt injection: हमलावर सिस्टम में सेंध नहीं लगाता, बस agent को ऐसा टेक्स्ट थमा देता है जिसे वह execute कर दे।
• फरवरी 2026: Oura ring के लिए MCP सर्वर प्रोजेक्ट का एक clone StealC infostealer फैला रहा था, जो browsers से पासवर्ड, API keys और crypto wallets चुराता है।

इसके अलावा Adversa AI के शोधकर्ताओं ने दिखाया कि चार लोकप्रिय टूल्स (Claude Code, Gemini CLI, Cursor CLI, Copilot CLI) में किसी और की repository clone करने के बाद “मैं इस फ़ोल्डर पर भरोसा करता हूं” पर एक क्लिक उसमें परिभाषित MCP सर्वरों को यूज़र की पूरी permissions के साथ चला सकता है। फ़िलहाल यह एक रिसर्च demonstration है, कोई ज्ञात हमला नहीं। और खुद AI टूल्स Pwn2Own में पूरे निशाने बन चुके हैं: मई 2026 में बर्लिन में OpenAI Codex, Cursor और LM Studio समेत कई गिरे, और अक्टूबर 2026 में आयरलैंड में Codex पहले ही दिन टूट गया।

कस्टमर सर्विस में AI agent: social engineering, बस इंसान के बिना

AI agent अब सिर्फ़ प्रोग्रामर के लैपटॉप पर नहीं बैठता। वह ज़्यादा से ज़्यादा ग्राहकों के ईमेल का जवाब देता है, वेबसाइट पर चैट संभालता है और हेल्पलाइन पर फ़ोन उठाता है। शोधकर्ता और bug bounty प्लेटफ़ॉर्म Intigriti के सह-संस्थापकों में से एक, Inti De Ceukelaire ने DEF CON 34 (Bug Bounty Village) में दिखाया कि इससे क्या निकलता है। जैसा वे खुद बताते हैं, कुछ ही वीकेंड में उन्होंने 50,000 डॉलर से ज़्यादा के इनाम जुटा लिए – बिना scanners के, सिर्फ़ bots को मैसेज लिखकर। कुछ तकनीकें, जिन्हें जानना ज़रूरी है:

• ईमेल से ग्राहक का रूप धरना। कुछ bots ग्राहक को दिखने वाले sender से पहचानते हैं, न कि उससे जो ईमेल की सुरक्षा व्यवस्था ने असल में जांचा। एक तैयार किया गया ईमेल काफ़ी है और bot किसी और के account का डेटा भेज देता है – कभी-कभी सीधे उस पते पर, जिसे हमलावर ने कॉपी (CC) में जोड़ा था।
• आधिकारिक पते से phishing। “मुझे बातचीत का रिकॉर्ड भेजो” वाला फ़ीचर हमलावर का लिखा टेक्स्ट किसी को भी असली support पते से भेजने देता था, जो spam filters से होकर निकल जाता है।
• one-time codes की चोरी। हमलावर bot के लिए एक “निर्देश” छोड़ता है और फिर password reset चालू करता है। bot आने वाला code पढ़ता है और आज्ञाकारी ढंग से उसे आगे भेज देता है। ऐसी ही एक चाल Chrome ब्राउज़र में बने AI assistant पर भी चली – Google ने इस रिपोर्ट को “Won’t Fix” मार्क किया।
• इंसान के लिए एक कंटेंट, AI के लिए दूसरा। HTML में छिपा टेक्स्ट, एक ही ईमेल के अलग-अलग वर्ज़न (text और HTML), कोट किए गए जवाब में नकली “कंसल्टेंट की पहले से दी गई मंज़ूरी”। bot की कार्रवाई को मंज़ूर करने वाला इंसान एक मासूम ईमेल देखता है, और agent कमांड execute कर देता है। एक उदाहरण में इसका नतीजा 4,200 डॉलर का अनधिकृत refund था।
• चैनल बदलना। अगर चैट ग्राहक की पहचान अच्छे से जांचती है, तो बस फ़ोन कर दीजिए। AI वाली हेल्पलाइन caller के नंबर पर भरोसा करती थी, जिसे नकली बनाया जा सकता है, या ऐसे security सवालों पर, जिनका जवाब अंदाज़े से दिया जा सकता है।
• ज़हरीला knowledge base। bot कंपनी के पेजों और community forum से जवाब लेता है। forum पर हमलावर की पोस्ट कंपनी की आधिकारिक जानकारी की तरह index हो सकती है – एक नकली discount code के साथ।

इस प्रेज़ेंटेशन की सबसे अहम बात: loop में बैठा इंसान सुरक्षा नहीं है, अगर वह मशीन से कुछ और देख रहा है। यह helpdesk पर वही पुरानी, आज़माई हुई social engineering है, बस फ़र्क इतना है कि bot का कभी बुरा दिन नहीं होता, उसे शक नहीं होता और वह हर लिखने वाले को एक सेकंड में जवाब देता है। अगर आपकी कंपनी ऐसा agent लगा रही है, तो उसे privileged automation की तरह मानें: ग्राहक से आए कंटेंट को system निर्देशों से अलग रखें, पहचान “From” फ़ील्ड से नहीं बल्कि logged-in session में जांचें, हर tool call को server की तरफ़ जांचें और bot को बिना जांचे पते पर codes या डेटा भेजने न दें।

सबक नंबर 7: AI agent पूरी permissions वाला एक नया “कर्मचारी” है, जो वह सब कुछ पढ़ता है जो आप उसे देते हैं – फ़ाइल, रिपोर्ट या ईमेल में छिपे हमलावर के निर्देश भी। और जैसा Binance ने दिखाया, कंपनी का ऐसा AI टूल जिसकी पहुंच एक साथ कई कंप्यूटरों तक हो, हमलावर के लिए बना-बनाया हाईवे है। और इससे फ़र्क नहीं पड़ता कि वह Windows पर है, Linux पर या Mac पर। उसे probation पर आए नए कर्मचारी की तरह रखें: अलग account या container, minimum permissions वाले tokens, सिर्फ़ भरोसेमंद सोर्स से MCP plugins, कुछ बदलने वाली कमांड की manual मंज़ूरी, और अनजान repositories के लिए कभी “भरोसा है” नहीं – “recruitment assignments” वाली repositories के लिए भी नहीं। और अगर आपका लैपटॉप अचानक गर्म होने लगे – तो Activity Monitor देख लें, इससे पहले कि कोई और देखे।

फ़ैसला: कौन सा राउंड किसने जीता

अगर “पॉइंट” गिनें, तो Linux तीन राउंड जीतता है (असल में हमले वाली कमज़ोरियां, zero-day, patch की रफ़्तार), macOS तीन (सबसे कम CVE, सबसे कम malware, सबसे ऊंचा bounty), Windows एक (टीम)। बस यह रैंकिंग उतनी ही कीमती है जितनी शुरुआत की मेरी तीन शर्तें: Linux जीतता है क्योंकि वह डेस्क पर नहीं है, Mac जीतता है क्योंकि वह अभी-अभी निशाने पर आ रहा है, और Windows हारता है क्योंकि वह हर जगह है।

तो कौन सा सिस्टम चुनें? गलत सवाल

एक pentester के नज़रिए से सच किसी भी रैंकिंग से कम आरामदायक है: 2026 में मैं कंपनियों में ऑपरेटिंग सिस्टम के ज़रिए नहीं, बल्कि कंपनी ने उसके साथ जो किया है, उसके ज़रिए घुसता हूं। बिना MFA वाले account के ज़रिए, इंटरनेट पर खुले उस सर्वर के ज़रिए जिसमें एक साल पुरानी KEV लिस्ट वाली कमज़ोरी है, Windows 10 वाले लैपटॉप के ज़रिए, बिना EDR वाले CEO के Mac के ज़रिए, क्योंकि “Mac पर वायरस नहीं होते”। या उस AI agent के ज़रिए, जिसे किसी ने हर चीज़ की चाबियां दे दीं। इसलिए रैंकिंग की जगह – चार छोटी लिस्ट:

1. Windows – यह आपका आम बेड़ा है और सबसे बड़ा attack surface। Windows 10 बंद करें या ESU (extended support) खरीदें, Patch Tuesday हफ़्तों में नहीं, दिनों में लागू करें, KEV लिस्ट को प्राथमिकता दें, हर endpoint पर EDR, local admin बंद। बोरिंग है? बोरियत कंपनियों को बचाती है।
2. macOS – इसे Windows की तरह ही मैनेज करें: MDM, EDR, ज़बरदस्ती updates। लोगों को “ClickFix” के बारे में ट्रेनिंग दें (कोई भी समझदार आपसे वेबसाइट “ठीक करने” के लिए terminal में कमांड पेस्ट नहीं करवाएगा)। CEO के Mac पर infostealer आज आपके Microsoft 365 तक पहुंचने का सबसे सस्ता रास्ता है।
3. Linux – kernel टीम दिनों में patch करती है, लेकिन आपका सर्वर खुद update नहीं होगा। Kernel और distribution supported वर्ज़न पर, ESXi hypervisors इंटरनेट और यूज़र नेटवर्क से कटे हुए, और जो कुछ बाहर दिखता है उसकी पूरी सूची। कम हमले का मतलब शून्य हमले नहीं – ये वे हमले हैं जो दिल पर लगते हैं।
4. AI agent (तीनों में से हर एक पर) – अगर आपके programmers या आप खुद Claude Code, Codex या Cursor इस्तेमाल करते हैं, तो नियम तय करें, इससे पहले कि कोई और आपके लिए यह करे: अलग environment, minimum permissions वाले tokens, अनुमति वाले MCP plugins की लिस्ट, कमांड की manual मंज़ूरी और अनजान repository के लिए कभी “भरोसा है” नहीं। और अगर AI आपके ग्राहकों को जवाब देता है, तो उसे वैसे ही टेस्ट करें जैसे हमलावर helpdesk को टेस्ट करेगा: नकली ईमेल, चैट की जगह फ़ोन, मैसेज में छिपा निर्देश।

और सबके लिए एक साझा बात: जांचें कि यह काम करता है। Microsoft, Apple और Linux को अपनी कमज़ोरियों के बारे में इसलिए पता है, क्योंकि कोई उन्हें सक्रिय रूप से ढूंढ रहा है – 2 मिलियन डॉलर वाले रिसर्चर, Project Zero, Pwn2Own। आपके पैमाने पर यह भूमिका penetration test निभाता है: एक नियंत्रित हमला, जिसके बाद आपको लिस्ट मिलती है कि असल में क्या कमज़ोर है, थ्योरी में नहीं। अगर आप जानना चाहते हैं कि इसकी कीमत कितनी है, तो कैलकुलेटर में 2 मिनट में हिसाब लगाएं।

सारांश ✔️

Windows में सबसे ज़्यादा असली हमले वाली कमज़ोरियां और सबसे ज़्यादा malware है, लेकिन सबसे बड़ी टीम और सबसे अनुमान लगाने लायक patching भी। Linux में कागज़ पर सबसे ज़्यादा CVE हैं, और व्यवहार में सबसे कम, और यह सबसे तेज़ patch करता है – बशर्ते कोई उन patches को install करे। macOS में हर चीज़ सबसे कम है, लेकिन खतरे सबसे तेज़ी से बढ़ रहे हैं, और उसकी “सुरक्षित” होने की छवि उसकी सबसे बड़ी कमज़ोरी बन गई है। और इन सबके ऊपर एक नया खिलाड़ी आ गया है – AI agent, जिसके पास तीनों में से हर सिस्टम पर उतनी ही ताकत है जितनी आप उसे देते हैं। इनमें से कोई भी अपने आप सुरक्षित नहीं है। हर एक उतना ही सुरक्षित है जितनी उसे इस्तेमाल करने वाली कंपनी – और यह अच्छी खबर है, क्योंकि इस पर आपका असर है।

अक्सर पूछे जाने वाले सवाल (FAQ)

कौन सा ऑपरेटिंग सिस्टम सबसे सुरक्षित है: Windows, Linux या macOS?

कोई एक विजेता नहीं है। 2025 में Linux में सबसे ज़्यादा CVE (5,687) थे, लेकिन सबसे कम असल में इस्तेमाल होने वाली कमज़ोरियां (CISA KEV में 7 नई एंट्री) और patch का सबसे कम समय (Project Zero के मुताबिक 25 दिन)। Windows में सबसे ज़्यादा असली हमले वाली कमज़ोरियां थीं (KEV में 39 एंट्री, 25 zero-day) और हर साल लगभग 70 मिलियन नए malware सैंपल। macOS में सबसे कम कमज़ोरियां और malware हैं, लेकिन खतरे सबसे तेज़ी से बढ़ रहे हैं (2025 में backdoors +67%)। सुरक्षा configuration और updates की रफ़्तार तय करती है, सिर्फ़ सिस्टम नहीं।

Linux में इतने ज़्यादा CVE क्यों हैं?

फरवरी 2024 से Linux kernel प्रोजेक्ट खुद CVE नंबर देता है और बहुत व्यापक रूप से देता है: हर उस fix को नंबर मिलता है जिसका सुरक्षा पर असर हो सकता है। इसीलिए 2024 में हर हफ़्ते लगभग 60 CVE और 2026 में एक kernel release पर लगभग 2,000। Microsoft और Apple सिर्फ़ चुने हुए bugs को CVE देते हैं, और कई fixes बिना नंबर के आते हैं। इसलिए CVE की संख्या प्रोजेक्ट की पारदर्शिता मापती है, उसकी कमज़ोरी नहीं।

क्या Mac पर वायरस होते हैं?

हां, और उनकी संख्या बढ़ रही है। Jamf ने 2025 में macOS के 26 हज़ार से ज़्यादा malware सैंपल डेटाबेस में जोड़े, trojans detections का आधा हिस्सा हैं, और Moonlock ने नए backdoors में 67% बढ़ोतरी दर्ज की। सबसे आम प्रकार infostealers हैं (जैसे AtomicStealer), जो पासवर्ड, session cookies और crypto wallets चुराते हैं और नकली ads और “ClickFix” ट्रिक के ज़रिए फैलाए जाते हैं।

Microsoft, Apple और Linux कमज़ोरियों को कितनी तेज़ी से patch करते हैं?

Google Project Zero के पिछले सामूहिक हिसाब (2019-2021 की रिपोर्ट्स) के मुताबिक Linux औसतन 25 दिन में patch जारी करता था, Apple 69 में और Microsoft 83 में। Linux हर हफ़्ते stable kernel जारी करता है, Microsoft मासिक साइकिल में patch करता है (Patch Tuesday, 2025 में 1,139 CVE), Apple अनियमित लेकिन थोक में। GTIG के मुताबिक 2025 में कंपनियों ने सक्रिय रूप से इस्तेमाल हो रहे zero-day औसतन लगभग 15 दिन में patch किए।

Windows, macOS और Linux की सुरक्षा पर कितने लोग काम करते हैं?

Microsoft Secure Future Initiative के तहत 34 हज़ार इंजीनियरिंग पदों के बराबर काम का दावा करता है और उसने 2025/26 के साल में 20 मिलियन डॉलर bug bounty दिया। Apple अपनी टीम का आकार प्रकाशित नहीं करता, लेकिन 2020 से 800 से ज़्यादा रिसर्चर्स को 35 मिलियन डॉलर दे चुका है और एक कमज़ोरी के लिए 2 मिलियन डॉलर तक देता है। Linux kernel में CVE नंबर 3-4 सीनियर लोगों की टीम देती है, और security टीम निजी हैसियत से काम करने वाले मुट्ठी भर subsystem maintainers की है।

क्या support खत्म होने के बाद Windows 10 सुरक्षित है?

सिर्फ़ तभी, जब वह extended support (ESU) में रजिस्टर्ड हो। Standard support 14 अक्टूबर 2025 को खत्म हो गया, लेकिन घरेलू यूज़र्स 12 अक्टूबर 2027 तक मुफ़्त security fixes पा सकते हैं – Microsoft ने यह तारीख जून 2026 में बढ़ाई। शर्त: प्रोग्राम में साइन-अप (Microsoft account और Windows backup चालू, Microsoft Rewards points या 30 USD का भुगतान)। कंपनियां ESU अलग से खरीदती हैं। बिना ESU वाले कंप्यूटर को एक साल से कोई patch नहीं मिला है, और Windows 11 का हर fix हमलावरों को इशारा देता है कि कमज़ोरियां कहां ढूंढनी हैं। सितंबर 2026 में Windows 10 अब भी Windows वाले लगभग 28% कंप्यूटरों पर चल रहा था।

क्या AI agents (Claude Code, Codex, Cursor) कंप्यूटर की सुरक्षा के लिए खतरा हैं?

हो सकते हैं, सिस्टम चाहे कोई भी हो। Agent यूज़र की permissions के साथ काम करता है, फ़ाइलें पढ़ता है, कमांड चलाता है और अक्सर क्लाउड और repositories की keys तक उसकी पहुंच होती है। “s1ngularity” हमले (अगस्त 2025) में Nx package के संक्रमित वर्ज़न ने install किए गए AI टूल्स से secrets के लिए डिस्क खंगालने को कहा, जिसका नतीजा 2,180 GitHub accounts पर कब्ज़ा था। खतरा malicious MCP plugins और prompt injection से भी है, यानी उस कंटेंट में छिपे हमलावर के निर्देश, जिसे agent पढ़ता है। अच्छी प्रैक्टिस: अलग environment, tokens की minimum permissions, सिर्फ़ भरोसेमंद सोर्स से plugins और कमांड की manual मंज़ूरी।

सोर्स 📚

• Jerry Gamblin – 2025 CVE Data Review (48,185 CVE; Linux 5,687, Microsoft 1,255, Apple 727; kernel 3,649, Windows 10 623, macOS 362)
• Google Threat Intelligence Group – 2025 Zero-Days in Review (90 zero-day; Microsoft 25, Google 11, Apple 8)
• Cyble – CISA KEV 2025 (245 नई एंट्री; Microsoft 39, Apple 9, Linux 7) और KEV कैटलॉग का डेटा (दिसंबर 2025 में 1,484 एंट्री, Microsoft 350); Safeguard – आंकड़ों में CISA KEV (1,748 एंट्री, 16 अक्टूबर 2026 का संस्करण)
• StatCounter – डेस्कटॉप सिस्टम का हिस्सा, सितंबर 2026 और Windows वर्ज़न का हिस्सा (Windows 10: 27.83%)
• AV-ATLAS / AV-TEST – 2022 के लिए सिस्टम के हिसाब से नए malware सैंपल का सारांश (AV-ATLAS प्रोफ़ाइल पर प्रकाशन, दिसंबर 2022) और AV-TEST malware आंकड़े
• Elastic Security Labs – Global Threat Report 2023 और 2025
• Jamf – Security 360: 2026 Annual Trends Report (Mac); Moonlock Lab – Mid-2026 macOS Threat Report; Microsoft Security – macOS पर infostealers की चेतावनी (फरवरी 2026)
• The Register – Huntress: ransomware encryption में hypervisors का हिस्सा 3% → 25% (दिसंबर 2025); CISA – CVE-2024-1086 पर alert (अक्टूबर 2025); Check Point Research – Linux/Windows ransomware की तुलना
• Google Project Zero – A walk through Project Zero metrics (Linux 25 दिन, Apple 69, Microsoft 83)
• Przymus, Weiner, Rykaczewski, Kudrjavets – “Linux Kernel Recency Matters, CVE Severity Doesn’t, and History Fades” (MSR 2026)
• LWN – The kernel becomes its own CNA; LWN – Kroah-Hartman: Linux kernel security work; Phoronix – प्रति kernel release CVE (Kernel Recipes 2026); LWN – Kernel Recipes 2026 में Kroah-Hartman के भाषण की रिपोर्ट; The Register – दो दिन में 432 CVE (जुलाई 2026)
• Microsoft – SFI Progress Report (सितंबर 2024); SecurityWeek – Microsoft Bounty: $20 मिलियन (2026)
• Apple Security Bounty – अपडेट अक्टूबर 2025 ($2 मिलियन, $35 मिलियन का भुगतान)
• Security Affairs – Pwn2Own Berlin 2026, दिन 1 और 2; Zero Day Initiative – Pwn2Own Berlin 2026, दिन 3 और सारांश; Privacy Guides – Pwn2Own Ireland 2026
• Zero Day Initiative / Tenable – Patch Tuesday 2025-2026 के सारांश; BleepingComputer – Patch Tuesday अक्टूबर 2026; Apple – security releases (iOS 26.6.1)
• Help Net Security – उपभोक्ताओं के लिए Windows 10 ESU अक्टूबर 2027 तक बढ़ाया गया
• Macworld – Mac पर Claude Code द्वारा पकड़ा गया XMRig miner (अक्टूबर 2026); Let’s Data Science – विवरण और सावधानियां
• The Hacker News – Binance: नकली जॉब इंटरव्यू और internal AI टूल का दुरुपयोग (नवंबर 2026); Hackread – विवरण और Richard Teng का बयान
• BleepingComputer – Nx पर s1ngularity हमला (2,180 GitHub accounts)
• AuthZed – MCP घटनाओं की टाइमलाइन; SecurityWeek – AI agents में फ़ोल्डर पर भरोसे को लेकर Adversa AI की रिसर्च
• Intigriti – Hacking AI customer service agents (Inti De Ceukelaire, सितंबर 2026); DEF CON 34, Bug Bounty Village – “Hacking Human-in-the-Loop systems” (वीडियो)

आपकी कंपनी चाहे किसी भी सिस्टम पर चलती हो, सवाल एक ही है: क्या किसी ने पहले से जांचा है कि आप हमलावर के नज़रिए से कैसे दिखते हैं? Penetration test आपके सिस्टम पर एक नियंत्रित हमला है – Windows, Linux और Mac सब एक साथ – जिसके बाद आपको एक ठोस लिस्ट मिलती है: क्या कमज़ोर है, कितना और सबसे पहले क्या बंद करना है। कैलकुलेटर में टेस्ट की कीमत जानें या मुझे लिखें। 🔓