सिक्योरिटी कम्युनिटी के तीखे विरोध के बाद माइक्रोसॉफ्ट ने ज़ीरो-डे रिसर्चर के खिलाफ कानूनी कार्रवाई का इरादा छोड़ा

मई 2026 के अंत में, माइक्रोसॉफ्ट उस समय एक बड़े विवाद के केंद्र में आ गई जब उसके सिक्योरिटी रिस्पॉन्स सेंटर (MSRC) ने छह अनपैच्ड विंडोज कमजोरियों का सार्वजनिक खुलासा करने वाले एक छद्म नाम वाले सिक्योरिटी रिसर्चर के खिलाफ कानूनी कार्रवाई करने की धमकी दी। एक हफ्ते के भीतर ही, कंपनी अपनी बात से पीछे हट गई और एक ऐसा बयान जारी किया जो उसके पिछले रुख के बिल्कुल विपरीत था। यह घटनाक्रम इस बात का एक बेहतरीन उदाहरण है कि कैसे कम्युनिटी का दबाव कॉर्पोरेट कमजोरी प्रकटीकरण नीति को तेजी से बदल सकता है।

विवाद की शुरुआत कैसे हुई

अप्रैल की शुरुआत से मई 2026 के मध्य के बीच, 'नाइटमेयर एक्लिप्स' और 'कैओटिक एक्लिप्स' जैसे छद्म नामों से काम करने वाले एक रिसर्चर ने छह विंडोज ज़ीरो-डे कमजोरियों के लिए प्रूफ-ऑफ-कॉन्सेप्ट (PoC) एक्सप्लॉइट कोड जारी किया [4, 11]। इन कमजोरियों को ब्लूहैमर, रेडसन, अनडिफेंड, येलोकी, ग्रीनप्लाज़्मा और मिनीप्लाज़्मा नाम दिया गया था, और इन्होंने माइक्रोसॉफ्ट डिफेंडर और बिटलॉकर जैसे महत्वपूर्ण विंडोज घटकों को निशाना बनाया [4, 7]।

ये सभी खुलासे समन्वित कमजोरी प्रकटीकरण (CVD) पद्धतियों का पालन किए बिना किए गए। रिसर्चर ने हर बार माइक्रोसॉफ्ट को पूर्व सूचना दिए बिना एक्सप्लॉइट को प्रकाशित किया, और अक्सर एक्सपोज़र विंडो को अधिकतम करने के लिए इन्हें 'पैच ट्यूज़डे' के तुरंत बाद जारी किया जाता था ।

इन छह में से तीन कमजोरियों के हैकर्स द्वारा तुरंत सक्रिय रूप से शोषण किए जाने की पुष्टि हुई: ब्लूहैमर (CVE-2026-33825), रेडसन (CVE-2026-41091), और अनडिफेंड (CVE-2026-45498) [6, 9]। अमेरिकी साइबर सुरक्षा एजेंसी CISA ने इन्हें अपनी 'नोन एक्सप्लॉइटेड वल्नरेबिलिटीज़' सूची में शामिल कर लिया और संघीय एजेंसियों को आपातकालीन पैच लगाने का निर्देश दिया [6, 24]। माइक्रोसॉफ्ट ने 14 अप्रैल के पैच ट्यूज़डे चक्र में ब्लूहैमर के लिए पैच जारी किया और सक्रिय हमलों की रिपोर्ट के बाद 21 मई को रेडसन और अनडिफेंड के लिए आउट-ऑफ-बैंड फिक्स जारी किए । बाकी तीन - येलोकी (एक बिटलॉकर बायपास, CVE-2026-45585), ग्रीनप्लाज़्मा और मिनीप्लाज़्मा - जून की शुरुआत तक अनपैच्ड बने रहे [6, 17]।

रिसर्चर ने दावा किया कि माइक्रोसॉफ्ट की कमजोरी से निपटने की प्रक्रिया से उसकी पुरानी शिकायतें थीं। नाइटमेयर एक्लिप्स ने आरोप लगाया कि आधिकारिक चैनलों के माध्यम से प्रस्तुत की गई पिछली रिपोर्टों को या तो अनदेखा कर दिया गया या उनका गलत तरीके से निपटान किया गया था, और हाइपर-V एक्सप्लॉइट्स के लिए कथित तौर पर $250,000 तक के बग बाउंटी भुगतानों को रोक लिया गया था [3, 8]। इसके विपरीत, माइक्रोसॉफ्ट ने कहा कि रिसर्चर प्रकाशन से पहले आधिकारिक चैनलों के माध्यम से कमजोरियों की रिपोर्ट करने में विफल रहा ।

माइक्रोसॉफ्ट ने विवाद कैसे बढ़ाया

मई के आखिरी हफ्ते में स्थिति नाटकीय रूप से बिगड़ गई। करीब 23 मई को, नाइटमेयर एक्लिप्स का गिटहब अकाउंट सस्पेंड कर दिया गया। इसके बाद लगभग 26-27 मई को रिसर्चर को गिटलैब से भी प्रतिबंधित कर दिया गया [10, 15]। इसके बाद अपने निजी ब्लॉग से ऑपरेट करते हुए, रिसर्चर ने 14 जुलाई, 2026 - यानी अगले पैच ट्यूज़डे - को और भी एक्सप्लॉइट्स की एक 'बोन शैटरिंग' (हड्डियां चटकाने वाली) रिलीज़ की धमकी दी [1, 3]।

27 मई को, माइक्रोसॉफ्ट के MSRC ने "ए शेयर्ड रिस्पॉन्सिबिलिटी: प्रोटेक्टिंग कस्टमर्स थ्रू कोऑर्डिनेटेड वल्नरेबिलिटी डिस्क्लोज़र" शीर्षक से एक ब्लॉग पोस्ट प्रकाशित किया [7, 25]। इस पोस्ट में असंगठित खुलासों की निंदा करते हुए कहा गया कि "असंगठित खुलासे जो अनपैच्ड कमजोरियों के प्रूफ-ऑफ-कॉन्सेप्ट कोड को बुरे एक्टर्स के हाथों में सौंप देते हैं, कभी भी न्यायोचित नहीं होते और इनके वास्तविक दुनिया में गंभीर परिणाम होते हैं" ।

पोस्ट के एक खास हिस्से ने पूरे सुरक्षा समुदाय में खतरे की घंटी बजा दी:

"हमारी डिजिटल क्राइम्स यूनिट इन एक्टर्स और उन लोगों के खिलाफ मामले लाना जारी रखेगी जो उनकी आपराधिक गतिविधियों को सक्षम बनाते हैं - और आवश्यकतानुसार दुनिया भर की कानून प्रवर्तन एजेंंसियों के साथ समन्वय करेगी" [4, 19]।

हालांकि माइक्रोसॉफ्ट ने सीधे तौर पर नाइटमेयर एक्लिप्स का नाम नहीं लिया, लेकिन इस पोस्ट का संदर्भ - जो कि जारी ज़ीरो-डे अभियान की सीधी प्रतिक्रिया थी - ने कई सुरक्षा शोधकर्ताओं को इसकी व्याख्या रिसर्चर के खिलाफ एक विशिष्ट कानूनी धमकी के रूप में करने पर मजबूर कर दिया [19, 26]।

साइबर सुरक्षा समुदाय में विस्फोट

प्रतिक्रिया तीव्र और अत्यधिक नकारात्मक थी। सुरक्षा शोधकर्ताओं, उद्योग टिप्पणीकारों और प्रमुख प्रौद्योगिकी प्रकाशनों ने माइक्रोसॉफ्ट पर धमकी देने की रणनीति अपनाने का आरोप लगाया, जो वैध सुरक्षा अनुसंधान को हतोत्साहित कर सकती है [3, 6, 9]।

कई आउटलेट्स ने कुछ ही दिनों के भीतर आलोचनात्मक कवरेज प्रकाशित की। टेकक्रंच का शीर्षक था "माइक्रोसॉफ्ट सुरक्षा शोधकर्ता को आपराधिक जांच की धमकी देने के लिए आलोचना के घेरे में" । विंडोज सेंट्रल ने रिसर्चर के निजी डर को शीर्षक दिया "वे मेरी ज़िंदगी बर्बाद कर देंगे" । द रजिस्टर, सिक्योरिटी अफेयर्स, CSO ऑनलाइन और द टाइम्स ऑफ इंडिया सभी ने इस विवाद को कवर किया, अंतरराष्ट्रीय आउटलेट्स ने साइबर सुरक्षा समुदाय में "आक्रोश" और "हंगामे" पर ध्यान दिया [9, 38]।

आलोचना का एक केंद्रीय विषय: शोधकर्ताओं ने तर्क दिया कि माइक्रोसॉफ्ट का कानूनी रुख समन्वित प्रकटीकरण प्रक्रिया में ही विश्वास को कमजोर करता है। अगर शोधकर्ताओं को कानूनी प्रतिशोध का डर हो, तो वे आधिकारिक चैनलों के माध्यम से बग की रिपोर्ट करना पूरी तरह से बंद कर सकते हैं [3, 8]। कई टिप्पणीकारों ने इस विडंबना पर प्रकाश डाला कि माइक्रोसॉफ्ट एक रिसर्चर को धमकी दे रहा था जबकि उसके द्वारा बताई गई छह में से तीन कमजोरियां अभी भी अनपैच्ड थीं [1, 4]।

सुरक्षा शोधकर्ता केविन ब्यूमोंट ने सार्वजनिक रूप से माइक्रोसॉफ्ट के इस मामले से निपटने के तरीके पर सवाल उठाए और कंपनी की प्रतिक्रिया की आनुपातिकता को चुनौती दी । आम राय इस विचार के इर्द-गिर्द जमा हुई कि माइक्रोसॉफ्ट ने रिसर्चर की शुरुआती रिपोर्टों का गलत तरीके से निपटान करके इस विवाद को जन्म दिया और फिर कानूनी कार्रवाई की धमकी देकर समस्या को और बढ़ा दिया [8, 10]।

2 जून को माइक्रोसॉफ्ट का यू-टर्न

2 जून, 2026 को माइक्रोसॉफ्ट अपने रुख से पीछे हट गई। सोशल मीडिया प्लेटफॉर्म X पर पोस्ट किए गए और कई आउटलेट्स द्वारा रिपोर्ट किए गए एक बयान में, कंपनी ने घोषणा की: "कानूनी मामलों के प्रति अपने दृष्टिकोण के बारे में स्पष्ट करने के लिए, हमारा अपना सुरक्षा अनुसंधान करने या प्रकाशित करने वाले व्यक्तियों के खिलाफ कार्रवाई करने का कोई इरादा नहीं है" [29, 33]।

यह बयान 27 मई के ब्लॉग पोस्ट की डिजिटल क्राइम्स यूनिट वाली भाषा का सीधा खंडन करता था। माइक्रोसॉफ्ट ने अपने पहले के संचार को नाइटमेयर एक्लिप्स के खिलाफ एक विशिष्ट धमकी के बजाय समन्वित प्रकटीकरण प्रथाओं के बारे में एक सामान्य बयान के रूप में पेश करने की कोशिश की [5, 6]।

जर्मन टेक ब्लॉग BornCity ने इस उलटफेर को MSRC पोस्ट से उत्पन्न "शिटस्टॉर्म" के बाद माइक्रोसॉफ्ट का "थोड़ा पीछे हटना" बताया । उद्योग प्रकाशन iTnews ने रिपोर्ट किया कि यह कदम "सुरक्षा शोधकर्ताओं से तीखी प्रतिक्रिया के बाद आया है" ।

इस पीछे हटने का वास्तविक अर्थ क्या है

2 जून के बयान को नीतिगत बदलाव के बजाय इमेज को नुकसान से बचाने के उपाय के रूप में समझा जाना चाहिए। माइक्रोसॉफ्ट ने अपनी कमजोरी प्रकटीकरण अपेक्षाओं को बदलने के लिए कोई प्रतिबद्धता नहीं जताई, और न ही इसने रिपोर्टों के गलत प्रबंधन और अवैतनिक बाउंटी के रिसर्चर के बुनियादी दावों पर कोई ध्यान दिया। कंपनी ने अपनी इस स्थिति को बनाए रखते हुए कानूनी धमकी से कदम पीछे खींचे कि असंगठित प्रकटीकरण गैर-जिम्मेदाराना है [5, 6]।

रिसर्चर समुदाय की प्रतिक्रियाओं ने इस संदेहवाद को दर्शाया। कई लोगों ने इस स्पष्टीकरण को सार्वजनिक दबाव से प्रेरित एक सामरिक वापसी के रूप में देखा, न कि शोधकर्ता अधिकारों की रक्षा के लिए एक वास्तविक प्रतिबद्धता के रूप में [5, 6]। येलोकी, ग्रीनप्लाज़्मा और मिनीप्लाज़्मा की अनसुलझी स्थिति - जो जून की शुरुआत तक भी अनपैच्ड थीं - ने इस आलोचना को हवा देना जारी रखा कि माइक्रोसॉफ्ट की प्राथमिकताएं गलत हैं [1, 4]।

यह पूरा मामला कमजोरी प्रकटीकरण के मानदंड़ों में गहरे तनाव को उजागर करता है। समन्वित प्रकटीकरण विश्वास पर निर्भर करता है: शोधकर्ता बग की निजी तौर पर रिपोर्ट करते हैं, और विक्रेता उचित समय सीमा के भीतर उन्हें पैच करते हैं। जब कोई भी पक्ष इस सौदे में कमी महसूस करता है - चाहे अनदेखी रिपोर्टों, रोके गए बाउंटी, या कानूनी धमकियों के माध्यम से - तो पूरी प्रणाली नाजुक हो जाती है। तीन कारकों ने माइक्रोसॉफ्ट को पीछे हटने पर मजबूर किया: सामुदायिक आक्रोश की मात्रा और गति, रिसर्चर की 14 जुलाई को और भी बड़ी एक्सप्लॉइट डंप की धमकी, और स्वयं के पैच के अधूरे रहने पर कानूनी कार्रवाई की धमकी देने की अजीब छवि।