مايكروسوفت إكستشينج يتعرض لثغرتين أمنيتين خطيرتين خلال أسبوع واحد

مع ذلك، لم تظهر أي أدلة على أن هذه السلسلة من الثغرات كانت تُستغل فعلياً في الهجمات خارج المختبر في وقت العرض.

ثغرة اليوم‑الصفر النشطة CVE‑2026‑42897

بالتزامن تقريباً مع نتائج المسابقة، حذرت مايكروسوفت من ثغرة أخرى مختلفة تماماً يتم استغلالها بالفعل في هجمات حقيقية.

الثغرة تحمل الرقم CVE‑2026‑42897، وهي ضعف في معالجة المدخلات أثناء إنشاء صفحات الويب، ما يؤدي إلى Cross‑Site Scripting (XSS) داخل Microsoft Exchange Server.

يمكن للمهاجم استغلالها عبر إرسال محتوى مُصمم بعناية بحيث يتم تنفيذ JavaScript خبيث داخل متصفح الضحية عندما يعرض الرسالة أو المحتوى عبر Outlook Web Access (OWA).

الإصدارات المتأثرة

تؤثر الثغرة على إصدارات Exchange التي تعمل داخل بنية المؤسسة (On‑Premises)، وتشمل:

• Exchange Server 2016
• Exchange Server 2019
• Exchange Server Subscription Edition

أما Exchange Online (النسخة السحابية ضمن Microsoft 365) فلم تتأثر بهذه الثغرة وفق مايكروسوفت.

وقد حصلت الثغرة على درجة خطورة CVSS تبلغ نحو 8.1، ما يضعها ضمن الفئة العالية الخطورة، كما أُدرجت سريعاً في كتالوج الثغرات المستغلة فعلياً (KEV) التابع لوكالة الأمن السيبراني الأمريكية CISA.

كيف تعاملت مايكروسوفت مع المشكلة

بما أن الثغرة كانت تُستغل بالفعل قبل توفر تحديث رسمي، أصدرت مايكروسوفت إجراءات تخفيف مؤقتة لحماية الأنظمة.

تعتمد هذه الإجراءات على خدمة داخل Exchange تسمى Exchange Emergency Mitigation Service (EEMS)، وهي آلية تسمح لمايكروسوفت بإضافة قواعد حماية تلقائية إلى الخوادم.

في حالة CVE‑2026‑42897، أضافت الخدمة قاعدة URL Rewrite تقوم بحظر الطلبات الخبيثة التي تستهدف المكون الضعيف.

ونصحت مايكروسوفت مسؤولي الأنظمة بما يلي:

• التأكد من تفعيل Exchange Emergency Mitigation Service.
• تثبيت التحديث الأمني فور صدوره.
• مراقبة سجلات Exchange وIIS لرصد أي نشاط غير طبيعي.

دور CISA وإدراج الثغرة في KEV

قامت وكالة CISA بإضافة الثغرة إلى Known Exploited Vulnerabilities Catalog، وهي قائمة رسمية بالثغرات التي ثبت استغلالها فعلياً في الهجمات.

بالنسبة للوكالات الفيدرالية الأمريكية، يعني هذا الإدراج وجوب معالجة الثغرة وفق متطلبات Binding Operational Directive 22‑01.

لكن عملياً، يشير إدراج أي ثغرة في KEV إلى أنها خطر فوري يجب التعامل معه بسرعة.

ومن الإجراءات المعتادة في هذه الحالات:

• تطبيق التحديثات أو إجراءات التخفيف فوراً
• التحقق من تعرض الخدمات المتصلة بالإنترنت
• عزل الأنظمة الضعيفة إذا لم يتوفر إصلاح سريع

لماذا تبقى خوادم Exchange المحلية هدفاً رئيسياً؟

تُظهر الحادثتان معاً سبب استمرار استهداف خوادم Exchange داخل المؤسسات.

أهم العوامل التي تزيد المخاطر تشمل:

التعرض المباشر للإنترنت
غالباً ما تُنشر خدمات مثل Outlook Web Access على الإنترنت لتسهيل الوصول للبريد الإلكتروني، ما يزيد سطح الهجوم.

القيمة العالية للاختراق
اختراق خادم البريد يمنح المهاجم الوصول إلى الرسائل، والرموز المميزة للمصادقة، وأحياناً إلى كامل نطاق Windows داخل المؤسسة.

تعدد طرق الهجوم
في أسبوع واحد فقط ظهرت صورتان مختلفتان للتهديد:

• سلسلة استغلال متقدمة متعددة الثغرات اكتشفها باحثون
• ثغرة ويب أبسط تُستغل بالفعل في هجمات حقيقية

فجوة زمنية بين الاكتشاف والإصلاح
يمكن للمهاجمين استغلال الثغرات قبل صدور التحديثات، ما يجبر فرق الأمن على الاعتماد مؤقتاً على إجراءات التخفيف والمراقبة.

الخلاصة

ما حدث في أسبوع واحد فقط مع Pwn2Own Berlin 2026 وCVE‑2026‑42897 يؤكد نمطاً متكرراً: خوادم Exchange المحلية تظل نقطة تعرض أمنية حساسة لدى الكثير من المؤسسات.

في حين أظهرت مسابقة Pwn2Own ما يمكن أن يفعله باحثون مهرة في بيئة اختبارية، أظهرت ثغرة اليوم‑الصفر مدى سرعة استغلال المهاجمين لأي ضعف حقيقي.

بالنسبة للمؤسسات التي ما زالت تعتمد على Exchange محلياً، الرسالة واضحة: تقليل تعريض الخوادم للإنترنت قدر الإمكان، تفعيل خدمات التخفيف التلقائي، وتثبيت التحديثات الأمنية فور توفرها.