Nov 12, 20269 min

Claude Fable 5.2 بمقابلہ Gemini 4 Carbon، اور Railway، React اور Outlook کی اصلاحات

AIسیکیورٹیNext.jsReact

اس ویڈیو میں میں نے Claude Fable، Gemini اور ChatGPT سے ایک سوال پوچھا: کیا AI ایک Call of Duty جیسا گیم بنا سکتا ہے؟ نیچے اسی ہفتے کی قیمتوں اور سیکیورٹی خبروں کی تفصیل ہے۔ حقائق 12 نومبر 2026 کو جانچے گئے۔

مختصر جواب: Claude Fable 5.2 (9 نومبر کو جاری) کی قیمت 8 ڈالر فی ملین ان پٹ ٹوکن اور 40 ڈالر فی ملین آؤٹ پٹ ٹوکن ہے، جو پہلے 10 اور 50 ڈالر تھی۔ Gemini 4 Carbon (10 نومبر کو جاری) کی قیمت ایک رپورٹ کے مطابق 30 نومبر کے بعد 4 اور 20 ڈالر ہوگی۔ انہی 72 گھنٹوں میں Railway نے بتایا کہ چوری شدہ کسٹمر سیکرٹس سے تقریباً 740,000 ڈالر کا AI استعمال کیا گیا، React نے Server Components میں ایک سنگین خامی (CVE-2026-126187) ظاہر کی، اور Microsoft نے Outlook کی ایک خامی (CVE-2026-124194) ٹھیک کی جسے حملہ آور پہلے سے استعمال کر رہے تھے۔ اگر آپ React Server Components، Next.js، Railway یا Outlook استعمال کرتے ہیں تو اس ہفتے آپ کو کچھ پیچ یا تبدیل کرنا ہے۔

Claude Fable 5.2 اور Gemini 4 Carbon کی قیمت کتنی ہے؟

ماڈل	اجرا	ان پٹ فی 1M ٹوکن	آؤٹ پٹ فی 1M ٹوکن	کون استعمال کر سکتا ہے
Claude Fable 5.1	2026 میں پہلے	$10	$50	5.2 نے جگہ لے لی
Claude Fable 5.2	9 نومبر 2026	$8	$40	سب کے لیے: Anthropic، AWS، Google Cloud اور Azure
Claude Mythos 5.2	9 نومبر 2026	عوامی نہیں	عوامی نہیں	صرف Life Sciences اور Cyber تصدیقی پروگرام
Gemini 4 Carbon	10 نومبر 2026	$4 (رپورٹ)	$20 (رپورٹ)	ڈیولپرز، ادارے اور عام صارفین

Anthropic کا کہنا ہے کہ Fable 5.2 ورژن 5.1 سے 30 فیصد تک تیز جواب دیتا ہے اور اس نے بلیک ہول فزکس کے دو کھلے مسائل حل کیے ہیں۔ یہ کمپنی کے اپنے دعوے ہیں، ان کی آزادانہ تصدیق ابھی شائع نہیں ہوئی۔ Gemini 4 Carbon، Gemini 4 Argon سے اوپر کا ماڈل ہے جو 13 اکتوبر کو آیا تھا۔ Carbon کی قیمت ایک رپورٹ سے لی گئی ہے، اس لیے بجٹ بنانے سے پہلے Google کا پرائسنگ پیج دیکھ لیں۔

قیمت میں کمی سے ایک حقیقی ایپ پر کیا فرق پڑتا ہے؟

فرض کریں ایک سپورٹ چیٹ بوٹ مہینے میں 10,000 گفتگو کرتا ہے، اور ہر گفتگو میں تقریباً 2,000 ان پٹ اور 500 آؤٹ پٹ ٹوکن لگتے ہیں۔ یعنی 2 کروڑ ان پٹ اور 50 لاکھ آؤٹ پٹ ٹوکن۔

Claude Fable 5.1: ماہانہ 450 ڈالر
Claude Fable 5.2: ماہانہ 360 ڈالر
Gemini 4 Carbon: ماہانہ 180 ڈالر

فی ٹوکن قیمت بل کا صرف ایک حصہ ہے۔ جو ماڈل کم دوبارہ کوششوں، چھوٹے پرامپٹ یا کم آؤٹ پٹ میں کام مکمل کرے، وہ زیادہ فی ٹوکن قیمت کے باوجود فی کام سستا پڑ سکتا ہے۔ تبدیلی سے پہلے اپنے پرامپٹس دونوں ماڈلز پر چلا کر دیکھیں۔

Railway میں کیا ہوا، اور کون سی کیز تبدیل کرنی ہیں؟

Railway نے 22 اکتوبر کو کسٹمرز سے سیکرٹس تبدیل کرنے کو کہا۔ 10 نومبر کو کمپنی نے بتایا کہ حملہ آوروں نے انفراسٹرکچر کی خامیوں کا فائدہ اٹھا کر کسٹمرز کے authentication سیکرٹس چرائے اور ان سے تقریباً 740,000 ڈالر کا جعلی AI استعمال کیا۔ ایک لاکھ تک ورک اسپیسز کی اسناد ظاہر ہو سکتی ہیں۔ Railway کے مطابق کسٹمرز کی Git ریپوزٹریز یا ڈیٹا بیس تک رسائی کا کوئی ثبوت نہیں ملا۔ نئے سائن اپ عارضی طور پر بند ہیں۔

اندازے کے لیے: Fable 5.2 کی آؤٹ پٹ قیمت 40 ڈالر فی ملین ٹوکن پر، 740,000 ڈالر میں 18.5 ارب آؤٹ پٹ ٹوکن آتے ہیں۔ کیز اس ترتیب سے بدلیں تاکہ ایپ بند نہ ہو:

پرووائیڈر (Anthropic، Google، OpenAI، Stripe وغیرہ) پر نئی کی بنائیں۔
Railway سروس ویری ایبلز میں پرانی ویلیو کی جگہ نئی لگائیں۔
دوبارہ ڈپلائے کریں اور دیکھیں کہ نئی کی سے ریکویسٹس کام کر رہی ہیں۔
پرووائیڈر پر پرانی کی منسوخ کریں۔
22 اکتوبر کے بعد کا یوزیج لاگ دیکھیں اور نامعلوم خرچ کی اطلاع دیں۔

کیا React ہیک ہوا؟ CVE-2026-126187 کی وضاحت

نہیں۔ React نے ایک سنگین خامی ظاہر کر کے ٹھیک کی ہے۔ CVE-2026-126187 (GHSA-xqc2-xf4c-x3h3، 10 نومبر کو شائع) کے ذریعے React Server Components پر بغیر لاگ ان کے سرور پر کوڈ چلایا جا سکتا ہے۔ ایک ذریعے نے اسے 9.5 اور دوسرے نے 10.0 کی ریٹنگ دی ہے، اور اب تک اس کے استعمال کی کوئی اطلاع نہیں۔ متاثرہ پیکجز react-server-dom-webpack، react-server-dom-turbopack اور react-server-dom-parcel ہیں۔ درست ورژن 19.0.9، 19.1.10، 19.2.9 اور 19.3.1 ہیں۔

پہلے اپنی براہ راست dependencies چیک کریں:

npm ls react-server-dom-webpack react-server-dom-turbopack react-server-dom-parcel

اگر آپ Next.js استعمال کرتے ہیں تو یہ کمانڈ کچھ نہ دکھائے تب بھی آپ محفوظ نہیں ہیں۔ Next.js، React کے سرور رن ٹائم کی اپنی کاپی next پیکج کے اندر رکھتا ہے، اس لیے یہ کوڈ dependency tree میں نظر نہیں آتا اور npm audit اسے نہیں دیکھ سکتا۔ ورژن براہ راست پڑھیں:

grep -o "19\.[0-9]*\.[0-9]*-canary-[a-z0-9-]*" node_modules/next/dist/compiled/react/cjs/react.production.js | head -1

12 نومبر تک Next.js 16.4.5 اور تازہ ترین مستحکم ریلیز 16.4.6، دونوں React 19.3.0-canary-278794d7-20261002 استعمال کرتے ہیں۔ یہ بلڈ 2 اکتوبر کا ہے، یعنی اصلاح سے پہلے کا، اور Next.js نے ابھی تک اس CVE پر اپنی ایڈوائزری شائع نہیں کی۔ 11 نومبر کا 16.5.0-canary.48 نئے React canary پر منتقل ہوا ہے، مگر میں تصدیق نہیں کر سکا کہ اس میں اصلاح شامل ہے، اس لیے میں پروڈکشن میں canary نہیں لگاؤں گا۔ Next.js کی سیکیورٹی ایڈوائزریز پر نظر رکھیں اور جیسے ہی کوئی مستحکم ریلیز CVE-2026-126187 کا نام لے، اپ گریڈ کریں۔

اس کے علاوہ 10 نومبر کو React سے ملتے جلتے ناموں والے دو npm پیکجز، read-react-app-in اور read-react-app-out، میلویئر قرار دیے گئے۔ کوئی نیا پیکج انسٹال کرنے سے پہلے اس کی عمر اور مالک دیکھیں:

npm view <package-name> time.created maintainers repository.url

کیا Microsoft 365 میں خلاف ورزی ہوئی؟ Outlook CVE-2026-124194 کی وضاحت

نہیں۔ Microsoft نے Outlook کی ایک spoofing خامی ٹھیک کی ہے جسے حملہ آور پہلے سے استعمال کر رہے تھے۔ جب کوئی صارف ایک خطرناک میسج فائل کھولتا ہے تو Outlook بغیر معمول کی وارننگ کے حملہ آور کے سرور سے جڑتا ہے اور صارف کا NTLMv2 ہیش بھیج دیتا ہے۔ یہ Preview Pane سے فعال نہیں ہوتا۔ متاثرہ پروڈکٹس Microsoft 365 Apps for Enterprise، Office LTSC 2021 اور Office LTSC 2024 ہیں۔ CISA نے امریکی وفاقی اداروں کو 24 نومبر تک پیچ کرنے کا کہا ہے۔ یہ نومبر کی اپ ڈیٹ کی 1,094 اصلاحات میں سے ایک تھی۔

نومبر کی Office اور Windows اپ ڈیٹس انسٹال کر کے ری اسٹارٹ کریں۔ Microsoft انٹرنیٹ کی طرف جانے والا SMB بند کرنے کا بھی مشورہ دیتا ہے۔ یہ PowerShell رول (ایڈمنسٹریٹر کے طور پر) صرف انٹرنیٹ ایڈریسز کی طرف TCP 445 بند کرتا ہے، مقامی نیٹ ورک کے فائل شیئرز چلتے رہیں گے:

New-NetFirewallRule -DisplayName "Block outbound SMB to internet" -Direction Outbound -Protocol TCP -RemotePort 445 -RemoteAddress Internet -Action Block

2026 میں ایک لیک شدہ کی اتنی مہنگی کیوں ہے؟

پہلے چوری شدہ API کی سے ڈیٹا ظاہر ہوتا تھا۔ اب اس سے مشین کی رفتار سے AI پر پیسہ بھی خرچ کیا جا سکتا ہے، اور ماڈل جتنے سستے اور مفید ہوں گے، لیک شدہ کی حملہ آور کے لیے اتنی ہی قیمتی ہوگی۔ اس ہفتے میرے اپنے بکنگ کیلنڈر نے وقت دکھانا بند کر دیا کیونکہ ایک Google OAuth ٹوکن ختم ہو گیا تھا۔ کوئی حملہ نہیں ہوا تھا، مگر ایک بھولی ہوئی سند نے ایک چلتا فیچر بند کر دیا۔

جہاں پرووائیڈر اجازت دے وہاں خرچ کی سخت حد لگائیں، مثلاً Anthropic Console کے اس ورک اسپیس پر ماہانہ حد جس میں کی موجود ہے۔ Google Cloud کا بجٹ حد سے تجاوز پر صرف الرٹ بھیجتا ہے، خود سے خرچ نہیں روکتا۔

20 منٹ کی چیک لسٹ

react-server-dom-* کو 19.0.9، 19.1.10، 19.2.9 یا 19.3.1 پر اپ گریڈ کریں اور Next.js کے اندر موجود کاپی بھی چیک کریں۔
اگر Railway استعمال کرتے ہیں تو اوپر دی گئی ترتیب سے ہر سیکرٹ بدلیں، پہلے AI کیز۔
ہر AI API کی پر خرچ کی حد لگائیں۔
نومبر کی Office اور Windows اپ ڈیٹس انسٹال کریں اور SMB والا رول لگائیں۔
نئے npm پیکج کا نام دو بار پڑھیں اور انسٹال سے پہلے اس کی عمر دیکھیں۔
ریپوزٹری میں کمٹ شدہ سیکرٹس اسکین کریں، مثلاً gitleaks git -v سے، اور لکھ لیں کہ ہر سیکرٹ کہاں ہے اور کب ختم ہوگا۔

عام سوالات

کیا Next.js پر CVE-2026-126187 کا اثر ہے؟

Next.js، React کا سرور رن ٹائم ساتھ رکھتا ہے، اور 12 نومبر تک تازہ ترین مستحکم ریلیز 16.4.6 اصلاح سے پہلے کا React 19.3.0 canary استعمال کرتی ہے۔ جب تک کوئی مستحکم ریلیز اس CVE کا نام نہ لے، App Router سائٹس کو متاثر سمجھیں۔

Claude Fable 5.2 اور Gemini 4 Carbon میں کون سستا ہے؟

فی ٹوکن، رپورٹ کے مطابق Gemini 4 Carbon آدھی قیمت پر ہے: 4 اور 20 ڈالر، جبکہ Fable 5.2 کے 8 اور 40 ڈالر۔ فی کام لاگت اس پر منحصر ہے کہ ہر ماڈل کتنے ٹوکن لیتا ہے، اس لیے اپنے پرامپٹس پر دونوں آزمائیں۔

ذرائع

کچھ تیز اور محفوظ بنانا چاہتے ہیں؟

میں زبیر حسین ہوں، حیدرآباد، پاکستان میں مقیم ویب ڈیولپر، ویڈیو ایڈیٹر اور ڈیزائنر۔ میں دنیا بھر کے کلائنٹس کے لیے Next.js ویب سائٹس، React Native ایپس اور AI چیٹ بوٹس بناتا ہوں، اور پہلے دن سے سیکیورٹی اپ ڈیٹس اور خرچ کی حدیں سیٹ کرتا ہوں۔ میری ویب ڈیولپمنٹ سروسز دیکھیں یا 30 منٹ کی مفت کال بُک کریں۔

View original on Blogger