من بين أكثر من 1400 ثغرة أصلحتها Microsoft في 13 أكتوبر، تتعرض الثغرة CVE-2026-96951 (CVSS 8.8) للاستغلال بالفعل: فهي تسمح لملف خبيث بتجاوز حماية Mark of the Web. جميع إصدارات Windows وWindows Server المدعومة متأثرة، ومنحت CISA الوكالات الأمريكية ثلاثة أيام للتصحيح.
ما الذي حدث
حطّمت تحديثات Microsoft الأمنية لشهر أكتوبر 2026 (Patch Tuesday)، المنشورة في 13 أكتوبر، رقمًا قياسيًا جديدًا: 1413 ثغرة بحسب The Hacker News، منها 70 حرجة بحسب 01net. ثغرة واحدة فقط تصنّفها Microsoft على أنها مستغلة بالفعل: CVE-2026-96951 (CVSS 8.8)، وهي حقن أوامر في Windows Shell يتيح تجاوز Mark of the Web (MOTW). هذه العلامة يضعها Windows على الملفات المنزّلة من الإنترنت أو الواردة بالبريد، وهي التي تُطلق تحذيرات SmartScreen والعرض المحمي في Office.
أضافت CISA الأمريكية الثغرة إلى فهرس الثغرات المستغلة في اليوم نفسه، ومنحت الوكالات الفيدرالية مهلة حتى 16 أكتوبر لإصلاحها. وتشير Microsoft أيضًا إلى ثغرة في .NET Framework هي CVE-2026-108398 (CVSS 8.8)، وهي تجاوز آخر للحماية كُشف عنه علنًا قبل التصحيح من دون رصد هجمات.
من المعنيّ وكيف يدخل المهاجمون
جميع الإصدارات المدعومة متأثرة: Windows 10 وWindows 11 وWindows Server 2012 R2 و2016 و2019 و2022 و2025، بما في ذلك Server Core. الهجوم ليس تلقائيًا: بحسب Microsoft، يجب أن يفتح الضحية ملفًا مُعدًّا خصيصًا وصله بالبريد أو بالمراسلة الفورية، أو أن يتبع رابطًا إلى موقع خبيث. ومن دون علامة MOTW يُفتح الملف دون التحذير المعتاد. على صعيد الخوادم، يتركز الخطر في خوادم سطح المكتب البعيد (RDS) وخوادم القفز الإدارية، حيث يُقرأ البريد ويُتصفح الويب.
ما العمل الآن
- انشروا التحديث التراكمي لشهر أكتوبر، أولًا على محطات العمل وخوادم RDS ثم على كل الأجهزة: KB5126646 (Windows Server 2025)، KB5126655 (2022)، KB5126651 (2019)، KB5126868 (2016)، KB5126836 (2012 R2)، KB5127648 (Windows 11 24H2 و25H2)، KB5126657 (Windows 10 21H2 و22H2).
- تحققوا من التثبيت: في PowerShell عبر
Get-HotFix -Id KB5126655(مع رقم KB الخاص بإصداركم)، أو اقرؤوا مراجعة البناء عبر(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').UBR. الحد الأدنى المتوقع: 20348.5761 لـ Server 2022، و17763.9376 لـ Server 2019، و26100.33650 لـ Server 2025. - رشّحوا المرفقات في بوابة البريد: الاختصارات والسكربتات وصور الأقراص والأرشيفات المحمية بكلمة مرور نادرًا ما يكون لها سبب للوصول إلى مستخدميكم.
- راجعوا تنبيهات EDR خلال الأيام الأخيرة بحثًا عن عمليات غير مألوفة أطلقها explorer.exe أو Outlook.
تحليلنا
تجاوز MOTW وحده لا يكفي للسيطرة على خادم، لكنه يزيل آخر تحذير بين مرفق خبيث ونقرة. ومع أكثر من 1400 تصحيح في شهر واحد، القاعدة الوحيدة الممكنة هي ترتيب الأولويات: الثغرات المستغلة بالفعل تُصحَّح خلال أيام، بدءًا بالأجهزة التي يُقرأ عليها البريد.
المصادر
- Microsoft — Security Update Guide, CVE-2026-96951
- CISA — Known Exploited Vulnerabilities Catalog, CVE-2026-96951
- 01net — Plus de 1 400 failles Windows : le nouveau record monstrueux du Patch Tuesday de Microsoft
- The Hacker News — Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug
كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←
كثيرًا ما تبدأ سرقة بيانات الدخول برسالة تصيّد. هل تلقّيت رسالة نصية أو بريدًا مشبوهًا؟ تحقّق منه قبل النقر:
هل تخشون أن تكون خوادمكم مكشوفة؟ يقوم فريقنا بتدقيق البنى التحتية Linux والسحابية وتحديثها ومراقبتها على مدار الساعة.
تحدّث إلى خبير خدماتنا لإدارة الخوادم ←
