Microsoft تصلح 972 ثغرة: ثغرتا يوم صفر تحددان أولوية سبتمبر
أصدرت Microsoft في 8 سبتمبر 2026 حزمة تحديثاتها الأمنية الشهرية، ويضع أحد أساليب العد حجمها عند نحو 972 ثغرة، بينها ثغرتان مستغلتان فعليًا. وتحدد مراجعة Ars Technica لإصدار سبتمبر الثغرتين باسمَي CVE-2026-81963 وCVE-2026-85880، وتوضح أن الجهة المستغلة ونطاق الهجمات لم يكونا معلنين وقت النشر.
وفي الإصدار نفسه بتاريخ 8 سبتمبر 2026، تضع ملاحظات Microsoft الأمنية الرسمية الثغرتين ضمن بند «رُصد الاستغلال»، وتصنفهما كثغرتي رفع صلاحيات في Windows Update Stack وWindows Advanced Local Procedure Call. وبذلك تبدأ الأولوية من أجهزة Windows المتأثرة بهما، قبل الانتقال إلى الخدمات الشبكية القابلة للوصول والثغرات التي تسمح بتنفيذ تعليمات برمجية عن بعد.
لماذا تختلف أعداد حزمة سبتمبر؟
الرقم 972 ليس قائمة من 972 قرار نشر متطابقًا، كما أنه ليس الإجمالي الوحيد المتداول. فقد أحصى تحليل CrowdStrike للحزمة 972 ثغرة، منها 113 حرجة، موزعة في أبرز الفئات على 437 حالة رفع صلاحيات و258 حالة تنفيذ تعليمات برمجية عن بعد و171 حالة كشف معلومات.
في المقابل، أحصت Ars Technica 112 ثغرة حرجة، وقالت إن الإجمالي يصل إلى 997 عند إدخال إصلاحات Chromium المنقولة إلى Edge. أما ملاحظات Microsoft فتسجل 974 من ثغرات Microsoft؛ ولا تشرح الصفحات المنشورة كل فارق بين هذه المجاميع، لكن نطاق العد واحتساب الثغرات الخارجية أو المعاد نشرها يفسران لماذا لا ينبغي مقارنة الأرقام قبل توحيد المنهجية.
لهذا يُفهم رقم 972 بوصفه عدًا تحليليًا موثقًا للحزمة، لا عددًا رسميًا وحيدًا يلغي بقية طرق الإحصاء. والأهم لفرق التشغيل أن مجموع CVE لا يبين وحده ما إذا كان المكون مثبتًا، أو الخدمة مكشوفة، أو الاستغلال يتطلب وصولًا محليًا، أو الأصل يحمل صلاحيات وبيانات حساسة.
ثغرتا يوم الصفر في الحلقة الأولى
CVE-2026-81963 وCVE-2026-85880 هما أول اختبار ونشر منطقيين داخل كل مجموعة أصول متأثرة. كلتاهما مصنفة «مهمة» بدرجة CVSS تبلغ 7.8، لكن رصد الاستغلال فعليًا يمنحهما وزنًا تشغيليًا أعلى من ثغرات حرجة لم يظهر استغلالها ولم تتوافر شروطها في البيئة.
توجد CVE-2026-81963 في Windows Update Stack، وتسمح لمهاجم محلي ذي صلاحيات منخفضة بالوصول إلى صلاحيات SYSTEM عبر خلل في التعامل مع الروابط. أما CVE-2026-85880 فتوجد في آلية ALPC، ويمكن استغلال تجاوز سعة في الذاكرة فيها للخروج من AppContainer منخفض الصلاحيات والوصول إلى SYSTEM.
هذا يعني أن الثغرتين ليستا مساري دخول بعيد مستقلين؛ بل تحتاجان إلى قدرة سابقة على تشغيل تعليمات محليًا. لذلك تتقدم محطات الإدارة، وأجهزة فرق تقنية المعلومات، والخوادم الحساسة، والأجهزة التي ظهرت عليها مؤشرات اختراق على أجهزة أقل أهمية، مع بقاء التحقيق الأمني ضروريًا لأن تثبيت التحديث لا يزيل وصولًا حصل عليه مهاجم بالفعل.
مصفوفة لترتيب ما يأتي بعدهما
بعد الثغرتين المستغلتين، يصبح الترتيب قرار تعرض وأثر لا مسابقة درجات. ويمكن بناء قائمة النشر من تقاطع أربعة عوامل:
- حالة الاستغلال: الاستغلال المرصود أولًا، ثم وجود دليل استغلال علني أو ترجيح مرتفع، ثم الثغرات التي لا تتوافر لها إشارات عملية.
- الوصول إلى الأصل: الخدمات المواجهة للإنترنت أو المتاحة من قطاعات غير موثوقة تسبق الخدمات المحصورة داخل شبكات مراقبة.
- شروط الهجوم: تنفيذ التعليمات عن بعد بلا مصادقة أو تفاعل مستخدم يسبق عادة مسارًا يحتاج إلى وجود محلي وشروط متعددة.
- أهمية الأصل: وحدات تحكم النطاق والبنية التحتية للهوية وDNS وDHCP وExchange وHyper-V وSQL والأصول الإدارية تتقدم عندما تكون المكونات المتأثرة موجودة فعلًا.
تبرز في الحزمة مسارات تنفيذ عن بعد قابلة للوصول عبر الشبكة في خدمات أساسية، منها Netlogon وDNS وDHCP وMSMQ وNFS وSSTP، إلى جانب ثغرات في Kerberos وHyper-V. لا يعني ورود اسم المنتج أن كل تثبيت معرض؛ فالأولوية تعتمد على الدور المثبت، والإصدار المتأثر، وإمكان الوصول إلى الخدمة، وموقع الخادم داخل الشبكة.
تحتاج Office أيضًا إلى مسار سريع موازٍ: تضم الحزمة ثغرات حرجة يمكن تشغيل بعضها من جزء القراءة أو المعاينة، ما يقلل التفاعل المطلوب من المستخدم. الأولوية هنا للأجهزة التي تستقبل بريدًا أو ملفات من خارج المؤسسة، مع التحقق من الإصدارات والقنوات الفعلية وإعدادات المعاينة قبل تعميم القرار.
حلقات النشر وخطة العودة
اتساع الحزمة لا يبرر دفع كل تحديث إلى كل جهاز دفعة واحدة. التحويل العملي للمصفوفة هو مساران سريعان: الأول للثغرتين المستغلتين، والثاني للخدمات المكشوفة ومسارات التنفيذ عن بعد؛ ثم تتبع بقية الأصول وفق أهميتها وشروط الاستغلال.
- اختبار التحديثات على بيئة تمثل إصدارات Windows والأدوار والتطبيقات الحرجة المستخدمة فعليًا.
- نشرها على مجموعة صغيرة من أجهزة تقنية المعلومات، ثم عينة إنتاجية تضم أنواع الأجهزة والخوادم ذات الأولوية.
- التحقق من الإقلاع والمصادقة وWindows Update ووظائف الشبكة والتطبيقات الأساسية بعد التثبيت.
- توسيع النشر على دفعات، مع مراقبة فشل الخدمات والأعطال ومؤشرات الأداء قبل الانتقال إلى الحلقة التالية.
ينبغي أن تحدد خطة العودة مسبقًا عتبة إيقاف النشر، وطريقة استعادة الإعدادات أو البيانات، وأثر إزالة التحديث على التعرض الأمني. وإذا تعذر التحديث فورًا، يمكن استخدام العزل الشبكي، وتقليل الصلاحيات، وتعطيل الخدمة غير اللازمة، وتشديد المراقبة بوصفها ضوابط مؤقتة لا بديلًا دائمًا عن الإصلاح.
ما يحتاج إلى متابعة بعد النشر
الثابت حاليًا هو صدور تحديثات 8 سبتمبر، ووجود طريقتين موثقتين على الأقل تضعان العدد عند 972، ورصد استغلال ثغرتي رفع الصلاحيات في Windows. أما هوية الجهات المستغلة، وحجم الحملات، ومدى انتشارها جغرافيًا، فلم تكن معلوماتها متاحة علنًا عند صدور التحليلات.
ستحتاج المؤسسات إلى متابعة تغييرات دليل Microsoft والمشكلات المعروفة ونتائج حلقاتها التجريبية. المقياس المفيد ليس عدد البنود التي أغلقت فحسب، بل إغلاق مسارات الاستغلال الفعلي والتعرض الخارجي والتنفيذ عن بعد على الأصول الأهم، مع بقاء الخدمات مستقرة وإمكان العودة المنضبط عند ظهور خلل.
اقرأ أيضًا:
اشترك في نشرتنا الإخبارية
احصل على أحدث أخبار الويب 3 والذكاء الاصطناعي والعملات المشفرة مباشرة في بريدك.