Windows Shell: חולשה שכבר מנוצלת מסירה את האזהרה מקבצים שהגיעו מהאינטרנט — תוקנה בעדכוני אוקטובר

מבין יותר מ-1,400 החולשות ש-Microsoft תיקנה ב-13 באוקטובר, CVE-2026-96951 ‏(CVSS 8.8) כבר מנוצלת: היא מאפשרת לקובץ זדוני לעקוף את מנגנון Mark of the Web. כל גרסאות Windows ו-Windows Server הנתמכות מושפעות, ו-CISA נתנה לסוכנויות הפדרליות בארה״ב שלושה ימים לעדכן.

מה קרה

עדכוני האבטחה של Microsoft לאוקטובר 2026 (Patch Tuesday), שפורסמו ב-13 באוקטובר, שוברים שוב שיא: 1,413 חולשות לפי The Hacker News, ומתוכן 70 קריטיות לפי 01net. רק אחת מסומנת על ידי Microsoft כמנוצלת כבר: CVE-2026-96951 ‏(CVSS 8.8), הזרקת פקודות ב-Windows Shell שמאפשרת לעקוף את Mark of the Web ‏(MOTW). זהו הסימון ש-Windows מוסיפה לקבצים שהורדו מהאינטרנט או התקבלו בדואר, והוא שמפעיל את אזהרות SmartScreen ואת התצוגה המוגנת של Office.

CISA האמריקנית הוסיפה את החולשה לקטלוג החולשות המנוצלות באותו יום, ונתנה לסוכנויות הפדרליות עד 16 באוקטובר לתקן אותה. Microsoft מציינת גם חולשה ב-.NET Framework‏, CVE-2026-108398 ‏(CVSS 8.8), עקיפת הגנה נוספת שפורסמה לפני התיקון אך לא נצפתה בתקיפות.

מי מושפע וכיצד התוקפים חודרים

כל הגרסאות הנתמכות מושפעות: Windows 10, Windows 11 ו-Windows Server 2012 R2,‏ 2016, 2019, 2022 ו-2025, כולל Server Core. התקיפה אינה אוטומטית: לפי Microsoft, הקורבן צריך לפתוח קובץ מתוכנן שהתקבל בדואר או בהודעה מיידית, או ללחוץ על קישור לאתר זדוני. ללא סימון MOTW, הקובץ נפתח בלי האזהרה הרגילה. בצד השרתים, הסיכון מרוכז בשרתי שולחן עבודה מרוחק (RDS) ובשרתי קפיצה לניהול, שבהם קוראים דואר וגולשים ברשת.

מה לעשות עכשיו

1. פרסו את העדכון המצטבר של אוקטובר, תחילה בתחנות העבודה ובשרתי RDS ואחר כך בכל מקום: KB5126646 ‏(Windows Server 2025), ‏KB5126655 ‏(2022), ‏KB5126651 ‏(2019), ‏KB5126868 ‏(2016), ‏KB5126836 ‏(2012 R2), ‏KB5127648 ‏(Windows 11 24H2 ו-25H2), ‏KB5126657 ‏(Windows 10 21H2 ו-22H2).
2. ודאו שהעדכון הותקן: ב-PowerShell באמצעות Get-HotFix -Id KB5126655 (עם ה-KB של הגרסה שלכם), או קראו את מהדורת ה-build באמצעות (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').UBR. ערכי מינימום: 20348.5761 ל-Server 2022, ‏17763.9376 ל-Server 2019, ‏26100.33650 ל-Server 2025.
3. סננו קבצים מצורפים בשער הדואר: קיצורי דרך, סקריפטים, קובצי דיסק וארכיונים מוגני סיסמה בדרך כלל אינם צריכים להגיע למשתמשים שלכם.
4. עברו על התראות ה-EDR מהימים האחרונים וחפשו תהליכים חריגים שהופעלו על ידי explorer.exe או Outlook.

הניתוח שלנו

עקיפת MOTW לבדה אינה משתלטת על שרת, אבל היא מסירה את האזהרה האחרונה בין קובץ מצורף זדוני ללחיצה. עם יותר מ-1,400 תיקונים בחודש, הכלל היחיד שאפשר לעמוד בו הוא תעדוף: חולשות שכבר מנוצלות מתוקנות בתוך ימים, החל מהמחשבים שבהם קוראים דואר.

מקורות

• Microsoft — Security Update Guide, CVE-2026-96951
• CISA — Known Exploited Vulnerabilities Catalog, CVE-2026-96951
• 01net — Plus de 1 400 failles Windows : le nouveau record monstrueux du Patch Tuesday de Microsoft
• The Hacker News — Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←