أصدرت مايكروسوفت، يوم الثلاثاء، تحديثات لمعالجة 138 ثغرة أمنية في مختلف منتجاتها، على الرغم من عدم وجود أي منها مدرج كمعروف علنًا أو قيد الهجوم النشط. وتعد هذه التحديثات جزءًا من جهود مايكروسوفت المستمرة لتعزيز الأمن السيبراني.
تتوزع الثغرات التي تم إصلاحها على فئات مختلفة من حيث الخطورة، حيث تم تصنيف 30 منها على أنها “حرجة”، و104 على أنها “مهمة”، وثلاثة على أنها “متوسطة”، وواحدة فقط على أنها “منخفضة”. وتشكل ثغرات تصعيد الامتيازات النسبة الأكبر، بواقع 61 ثغرة، تليها ثغرات تنفيذ التعليمات البرمجية عن بعد (32)، وكشف المعلومات (15)، وانتحال الهوية (14)، وحجب الخدمة (8)، وتجاوز ميزات الأمان (6)، والتلاعب (2).
تحديثات مايكروسوفت الأمنية الضخمة
شملت التحديثات أيضًا ثغرة تم إصلاحها بواسطة AMD هذا الشهر (CVE-2025-54518)، والتي تتعلق بعزل غير صحيح للموارد المشتركة في ذاكرة التخزين المؤقت لعمليات وحدة المعالجة المركزية على منتجات Zen 2. وقد تسمح هذه الثغرة للمهاجم بإفساد التعليمات التي يتم تنفيذها بمستوى امتياز مختلف، مما قد يؤدي إلى تصعيد الامتيازات.
تأتي هذه التحديثات بالإضافة إلى 127 ثغرة أمنية أخرى قامت جوجل بمعالجتها في متصفح Chromium، الذي يشكل أساس متصفح Edge من مايكروسوفت. يشير هذا إلى تزايد حجم التهديدات وتعقيدها في مجال الأمن السيبراني.
ثغرة خطيرة في نظام ويندوز DNS
من بين أخطر الثغرات التي عالجتها مايكروسوفت هي CVE-2026-41096 (درجة CVSS: 9.8)، وهي ثغرة تجاوز سعة المخزن المؤقت تعتمد على الكومة وتؤثر على خدمة DNS في نظام ويندوز. يمكن للمهاجم استغلال هذه الثغرة لتنفيذ تعليمات برمجية عن بعد عبر الشبكة.
“يمكن للمهاجم استغلال هذه الثغرة عن طريق إرسال استجابة DNS مصممة خصيصًا إلى نظام ويندوز معرض للخطر، مما يؤدي إلى معالجة خاطئة للاستجابة وتلف الذاكرة. وفي بعض التكوينات، قد يسمح ذلك للمهاجم بتنفيذ تعليمات برمجية عن بعد على النظام المتأثر دون الحاجة إلى مصادقة”، حسبما ذكرت مايكروسوفت.
ثغرات حرجة وهامة أخرى
أصلحت مايكروسوفت أيضًا العديد من الثغرات الأخرى المصنفة على أنها حرجة ومهمة، بما في ذلك:
- CVE-2026-33109 (درجة CVSS: 9.9): عيب في التحكم في الوصول في Azure Managed Instance لـ Apache Cassandra يسمح للمهاجم المصرح له بتنفيذ تعليمات برمجية عن بعد.
- CVE-2026-42898 (درجة CVSS: 9.9): ثغرة حقن التعليمات البرمجية في Microsoft Dynamics 365 (محلي) تسمح للمهاجم المصرح له بتنفيذ تعليمات برمجية عن بعد.
- CVE-2026-42823 (درجة CVSS: 9.9): عيب في التحكم في الوصول في Azure Logic Apps يسمح للمهاجم المصرح له بتصعيد الامتيازات عبر الشبكة.
- CVE-2026-41089 (درجة CVSS: 9.8): تجاوز سعة المخزن المؤقت المستند إلى المكدس في Windows Netlogon يسمح للمهاجم غير المصرح له بتنفيذ تعليمات برمجية عن بعد دون الحاجة إلى تسجيل الدخول أو الحصول على وصول مسبق.
“تسمح ثغرة تصعيد الامتيازات الحرجة هذه للمهاجم غير المصرح له بانتحال شخصية مستخدم موجود عن طريق تقديم بيانات اعتماد مزورة، وبالتالي تجاوز Entra ID”، حسبما ذكر آدم بارنيت، كبير مهندسي البرمجيات في Rapid7، تعليقًا على CVE-2026-41103.
وصف جاك بيسر، مدير أبحاث الثغرات في Action1، أن CVE-2026-42898 هي ثغرة حرجة تسمح للمهاجم المصادق عليه ذي الامتيازات المنخفضة بتشغيل تعليمات برمجية عشوائية عبر الشبكة من خلال التلاعب ببيانات جلسة العملية داخل Dynamics CRM.
“مع عدم الحاجة إلى تفاعل المستخدم، وإمكانية التأثير على أنظمة تتجاوز النطاق الأمني الأصلي للمكون المعرض للخطر، تشكل هذه الثغرة خطرًا كبيرًا على المؤسسات. يمكن للمهاجم الذي يمتلك وصولاً أساسيًا فقط تحويل خادم التطبيقات التجارية إلى منصة تنفيذ عن بعد.”
تحديث شهادات التمهيد الآمن
تُنصح المؤسسات أيضًا بتحديث شهادات التمهيد الآمن (Secure Boot) الخاصة بنظام ويندوز إلى نظيراتها لعام 2023 قبل الشهر المقبل، حيث من المقرر انتهاء صلاحية الشهادات الصادرة عام 2011. أعلنت مايكروسوفت عن هذا التغيير لأول مرة في نوفمبر 2025.
“يتضمن التحديث غير المتعلق بـ CVE الأكثر أهمية الطرح الإلزامي لشهادات التمهيد الآمن المحدثة”، حسبما أوضح رين بيكر، أخصائي أول استجابة للحوادث في Nightwing. “الأجهزة التي تفشل في تلقي هذه التحديثات قبل الموعد النهائي في 26 يونيو ستواجه ‘فشل أمني كارثي على مستوى التمهيد’ أو حالات أمان متدهورة. تأكد من أن شبكتك بالكامل تقوم بتدوير شهادات الثقة الجديدة بنجاح قبل الموعد النهائي في 26 يونيو 2026.”
الذكاء الاصطناعي ودوره في اكتشاف الثغرات
وفقًا لساتنام نارانج، مهندس أبحاث حالي في Tenable، فقد قامت مايكروسوفت بالفعل بإصلاح أكثر من 500 ثغرة في أول خمسة أشهر من العام. يعكس هذا الحجم الكبير من الإصلاحات اتجاهًا صناعيًا أوسع حيث وصل اكتشاف الثغرات إلى مستويات قياسية جديدة، مع تمييز جزء منها عبر طرق مدعومة بالذكاء الاصطناعي.
في تقرير نشرته مايكروسوفت يوم الثلاثاء، ذكرت أن اكتشاف الثغرات بمساعدة الذكاء الاصطناعي من المتوقع أن يزيد من حجم إصدارات “Patch Tuesday” في الأشهر المقبلة. تم تحديد 16 من الثغرات التي تم إصلاحها هذا الشهر عبر مكدس شبكات ومصادقة ويندوز من خلال نظامها الجديد لاكتشاف الثغرات المدفوع بالذكاء الاصطناعي متعدد النماذج، والذي يحمل الاسم الرمزي MDASH.
“في إصدار هذا الشهر، تم اكتشاف حصة أكبر من المشكلات التي تم معالجتها بواسطة مايكروسوفت، مقارنة بالأشهر السابقة”، قال توم غالاغر، نائب رئيس قسم الهندسة في مركز استجابة أمن مايكروسوفت. “ظهر الكثير منها من خلال استثمارات الذكاء الاصطناعي والتحقيقات عبر فرق الهندسة والبحث لدينا، بما في ذلك استخدام آلية فحص مايكروسوفت الجديدة المدفوعة بالذكاء الاصطناعي متعدد النماذج.”
شددت مايكروسوفت أيضًا على أن حجم وسرعة اكتشاف الثغرات التي يوفرها الذكاء الاصطناعي يمكن أن تزيد من المتطلبات التشغيلية وتتطلب نهجًا متسقًا ومنضبطًا لإدارة المخاطر لضمان معالجة المشكلات بسرعة وإصلاحها في الوقت المناسب.
“ابق على اطلاع دائم بأنظمة التشغيل والمنتجات والتحديثات المدعومة، وأعد النظر في سرعة واتساق وتيرة تطبيق التحديثات لديك”، حسبما نصح غالاغر. “قم بالفرز حسب التعرض والتأثير، وليس حسب العدد الخام.”
تتضمن التوصيات الأخرى التي حددتها مايكروسوفت تقليل التعرض غير الضروري للإنترنت، وتحسين نظافة التهيئة، وإزالة المصادقة القديمة، وتمكين المصادقة متعددة العوامل (MFA)، وفرض ضوابط وصول قوية، وتقسيم البيئات لاحتواء الحوادث، والاستثمار في الكشف والاستجابة.
“يستمر عمل اكتشاف الثغرات وإصلاحها في أن يصبح أسرع وأوسع وأكثر صرامة عبر الصناعة”، حسبما أوضحت الشركة العملاقة في مجال التكنولوجيا. “ما نشجعه بالمقابل هو نظرة متأنية حول ما إذا كانت الممارسات التي نجحت بشكل جيد لمشهد التحديثات قبل بضع سنوات لا تزال مناسبة للمسار الذي يتجه إليه هذا المشهد.”
“الأساسيات لم تتغير. الوتيرة التي يجب بها تطبيقها تتغير، والمنظمات التي تتكيف معها ستكون تلك الأكثر استعدادًا لما هو قادم.”