وصلهٔ رکوردشکن Microsoft؛ یک حفرهٔ Windows Shell هم‌اکنون سوءاستفاده می‌شود

مایکروسافت در ۱۳ اکتبر ۲۰۲۶ آسیب‌پذیری CVE-2026-96951 در Windows Shell را وصله کرد؛ گزارش ۱۴ اکتبر The Hacker News شمار آسیب‌پذیری‌های این انتشار را ۱۴۱۳ مورد، بالاترین رقم یک چرخهٔ وصلهٔ مایکروسافت، ثبت می‌کند و از بهره‌برداری فعال از این حفره خبر می‌دهد؛ مایکروسافت پیامد بهره‌برداری موفق را چنین توصیف کرده است: «An attacker who successfully exploited the vulnerability could evade Mark of the Web (MOTW) defenses.» ثبت این شناسه در فهرست آسیب‌پذیری‌های مورد سوءاستفادهٔ CISA نیز به مدیران سامانه دلیل مشخصی می‌دهد که وصلهٔ Windows را در صف نخست بگذارند.

شمارش BleepingComputer از انتشار ۱۳ اکتبر رقم ۱۴۱۱ آسیب‌پذیری را ثبت می‌کند و CVE-2026-96951 را موردِ در حال بهره‌برداری می‌داند. این رسانه فقط آسیب‌پذیری‌هایی را در شمار روز وصله می‌آورد که همان روز منتشر شده‌اند؛ این توضیح به‌تنهایی منشأ اختلاف دو موردی با رقم ۱۴۱۳ را روشن نمی‌کند. برای تصمیم فوری، وضعیت بهره‌برداری از حفره و حضور Windows آسیب‌پذیر در محیط، از اختلاف شمار کل تعیین‌کننده‌تر است.

فایل دست‌کاری‌شده چگونه به Windows Shell می‌رسد؟

اثر شناخته‌شدهٔ CVE-2026-96951 دورزدن Mark of the Web است؛ نشانه‌ای که Windows برای شناسایی منشأ اینترنتی محتوای دریافتی به کار می‌برد. نقص به پردازش فرمان در Windows Shell مربوط است. اگر بهره‌برداری موفق باشد، محتوای مهاجم می‌تواند از دفاعی عبور کند که هنگام کار با فایل‌های رسیده از بیرون اهمیت دارد. این توصیف به‌معنای اجرای خودکار هر فایل دریافتی نیست؛ مسیر حمله به کاری از سوی کاربر وابسته است.

در سناریوی شرح‌داده‌شده برای این حفره، مهاجم می‌تواند فایل ویژه‌ای را با ایمیل یا پیام‌رسان بفرستد، یا کاربر را به پیوندی در سایت تحت کنترل خود بکشاند. کاربر باید برای مشاهده یا بازکردن محتوای مهاجم اقدامی انجام دهد؛ مهاجم راهی برای وادارکردن خودکار او به این کار ندارد. همین وابستگی به تعامل کاربر، مواجههٔ دستگاه‌ها را متفاوت می‌کند: رایانه‌ای که مرتب پیوست و فایل بیرونی دریافت می‌کند، در مسیر محتمل‌تری برای رسیدن محتوای مخرب قرار دارد.

جزئیات حملات واقعی، از جمله عاملان، قربانیان و شیوهٔ دقیق به‌کارگیری حفره، علنی نشده است. آنچه برای زمان‌بندی وصله اهمیت دارد، وضعیت بهره‌برداری فعال و قرارگرفتن شناسه در فهرست KEV آژانس CISA است. شرطِ اقدام کاربر باید هنگام ارزیابی مسیر حمله لحاظ شود، اما جای وضعیت بهره‌برداری تأییدشده را در اولویت‌بندی نمی‌گیرد.

شمار رکوردی چه چیزی دربارهٔ خطر می‌گوید؟

وسعت بسته نشان‌دهندهٔ کار استقرار بزرگی است، اما خطر همهٔ اصلاحیه‌ها برای همهٔ سامانه‌ها یکسان نیست. آسیب‌پذیری‌های این چرخه میان Windows، Office، ابزارهای توسعه، SharePoint Server و SQL Server توزیع شده‌اند. مدیر سامانه باید نخست مشخص کند کدام محصول و کدام نسخه واقعاً در محیط او وجود دارد؛ سپس وضعیت بهره‌برداری، راه دسترسی مهاجم و نقش دستگاه را در کنار هم بسنجد. صرفِ نام‌برده‌شدن یک محصول در فهرست وصله‌ها، آن را به اولویت یک سازمان تبدیل نمی‌کند.

دو مورد دیگر نشان می‌دهند چرا برچسب «آسیب‌پذیری مهم» به‌تنهایی ترتیب نصب را تعیین نمی‌کند. CVE-2026-108398 در .NET Framework می‌تواند محدودیت‌های Windows Defender Application Control را دور بزند، اما سناریوی شرح‌داده‌شده برای آن به دسترسی قبلی مهاجم به سامانه نیاز دارد. CVE-2026-92707 در MessagePack-CSharp به ازکاراندازی سرویس مربوط است. این نقص‌ها در زمان انتشار وصله افشا شده بودند، در حالی که برای حفرهٔ Windows Shell بهره‌برداری در حملات واقعی گزارش شده بود.

این تفاوت به معنی کنارگذاشتن اصلاحیه‌های دیگر نیست. روی دستگاهی که مؤلفهٔ آسیب‌پذیر .NET Framework را دارد و برای کنترل اجرای برنامه به WDAC متکی است، آن نقص موضوع مشخصی برای برنامهٔ وصله خواهد بود. به همین ترتیب، اثر نقص MessagePack-CSharp به حضور مؤلفهٔ مربوط و اهمیت دسترس‌پذیری سرویس بستگی دارد. شمار کل، اندازهٔ انتشار را نشان می‌دهد؛ این ویژگی‌های هر نقص و هر سامانه‌اند که ترتیب استقرار را شکل می‌دهند.

کدام دستگاه‌ها زودتر وصله شوند؟

اولویت نخست، دستگاه‌های Windows آسیب‌پذیری است که کاربرانشان فایل‌های بیرونی، پیوست‌های ایمیل یا محتوای رسیده از پیام‌رسان را باز می‌کنند. این ترتیب از دو واقعیت می‌آید: CVE-2026-96951 در حال بهره‌برداری است و مسیر توصیف‌شدهٔ آن از تعامل کاربر با محتوای مهاجم می‌گذرد. در یک محیط سازمانی، رایانه‌های دریافت‌کنندهٔ اسناد بیرونی می‌توانند پیش از دستگاه‌هایی قرار گیرند که چنین مسیری در کار روزانه‌شان کمتر دیده می‌شود.

گام بعدی، تطبیق بسته‌ها با نسخهٔ Windows و نقش سامانه است. یک سرور، ایستگاه کاری و رایانه‌ای که برای دسترسی راه دور به آن تکیه می‌شود، پیامد یکسانی از اختلال احتمالی پس از نصب ندارند. برای دستگاه‌های حساس، نصب روی نمونه‌ای با همان نقش و تنظیمات، همراه با ثبت وضعیت پیش از به‌روزرسانی و امکان بازگشت، به تشخیص مشکل استقرار کمک می‌کند. این مرحله‌بندی باید کوتاه و متناسب با بهره‌برداری فعال باشد تا آزمایش، دستگاه‌های در معرض فایل‌های مخرب را بی‌دلیل بدون وصله نگه ندارد.

پس از گروه نخست، اصلاحیه‌های مربوط به نرم‌افزارهای واقعاً نصب‌شده و سرویس‌های حیاتی باید در برنامه قرار گیرند. اگر محصولی در محیط وجود ندارد، نقص آن معیار جلو انداختن دستگاه دیگری نیست. اگر یک سرویس برای فعالیت سازمان ضروری است، حتی نقصی که هنوز بهره‌برداری فعال از آن گزارش نشده می‌تواند به‌دلیل پیامد اختلال در نوبت بعدی استقرار قرار گیرد. این ترتیب یک ارزیابی عملی از مواجهه و پیامد است، نه رتبه‌بندی ثابت برای همهٔ شبکه‌ها.

نصب بستهٔ Windows و مشکلات شناخته‌شده

یادداشت رسمی KB5127646 برای Windows 11 نسخهٔ 26H1 انتشار به‌روزرسانی ۱۳ اکتبر ۲۰۲۶ و دسترسی به آن از راه Windows Update، Windows Update for Business، Microsoft Update Catalog و WSUS را ثبت کرده است. این صفحه به همان نسخهٔ Windows مربوط است؛ برای دستگاه‌های نسخه‌های دیگر باید بستهٔ سازگار با همان نسخه انتخاب شود. در محیط‌های مدیریت‌شده، زمان دریافت از مسیر Windows Update for Business تابع سیاست‌های تنظیم‌شدهٔ سازمان است.

برای همین بسته، یک مشکل شناخته‌شده به اتصال Remote Desktop مربوط می‌شود: کاربران بدون دسترسی مدیریتی ممکن است هنگام اتصال به دستگاه‌هایی که Administrator protection در آن‌ها فعال است با خطا روبه‌رو شوند. این وضعیت پس از یک به‌روزرسانی آزمایشی پیشین یا بسته‌های بعدی گزارش شده و مایکروسافت رسیدگی به آن را ادامه می‌دهد. در نتیجه، نمونهٔ آزمایشیِ سازمانی که از راه دور مدیریت می‌شود باید همان تنظیمات حفاظت و همان نوع حساب کاربری دستگاه مقصد را داشته باشد؛ صرفِ روشن‌شدن رایانه پس از نصب، آزمون کافی برای این نقش نیست.

مشکل شناخته‌شدهٔ دیگر به بعضی تجهیزات USB Audio Class 1.0 مربوط است که ممکن است راه‌اندازی نشوند یا صدا نداشته باشند. منشأ گزارش آن به به‌روزرسانی امنیتی پیشین برمی‌گردد؛ یک اصلاحیهٔ خارج از نوبت بخشی از نشانه‌های مربوط به صدای چندکاناله را رفع کرده، اما رسیدگی به سایر نشانه‌ها ادامه دارد. بنابراین دستگاه آزمایشی که به تجهیزات صوتی وابسته است باید با همان وسیلهٔ جانبی بررسی شود، به‌ویژه اگر قطع صدا کار آن را مختل می‌کند.

در استقرار از طریق تصویر نصب Windows نیز وجود فایل boot.stl در رسانهٔ نصبِ به‌روزرسانی پویا اهمیت دارد؛ نبود آن می‌تواند مانع راه‌اندازی دستگاه از رسانه شود. پس از نصب، معیار پایان کار فقط ثبت موفقیت فرایند به‌روزرسانی نیست: باید نسخهٔ بستهٔ اعمال‌شده و کارکرد خدمت اصلی هر دستگاه اولویت‌دار روشن باشد. برای سامانه‌های در معرض فایل‌های بیرونی، تأخیر در این مرحله به معنی ادامهٔ مواجهه با حفره‌ای است که بهره‌برداری از آن پیش از انتشار وصله آغاز شده بود.

بیشتر بخوانید:

• حفرهٔ SharePoint فعالانه سوءاستفاده می‌شود؛ نصب وصله پایان بررسی نیست
• رونویسی زندهٔ Microsoft رکورد زد؛ اما هنوز برای تولید آماده نیست
• Zoom یا Microsoft Teams؛ اینترنت 4G و هزینهٔ AI برنده را عوض می‌کنند