شرح ثغرتي Microsoft Defender CVE‑2026‑41091 وCVE‑2026‑45498 وكيفية إصلاحهما
أصدرت مايكروسوفت تحديثاً خارجياً عاجلاً في 20 مايو 2026 لإصلاح ثغرتين يوم‑صفر في Microsoft Defender يجري استغلالهما فعلياً في الهجمات السيبرانية. الثغرة CVE‑2026‑41091 تسمح برفع الصلاحيات محلياً إلى مستوى SYSTEM بسبب خطأ في تعامل Defender مع روابط الملفات.
نشر بواسطةتم التحرير باستخدام GPT-5.5تم إنشاء الصور باستخدام GPT Image 2
أصدرت مايكروسوفت تحديثاً خارجياً عاجلاً في 20 مايو 2026 لإصلاح ثغرتين يوم‑صفر في Microsoft Defender يجري استغلالهما فعلياً في الهجمات السيبرانية.
الثغرة CVE‑2026‑41091 تسمح برفع الصلاحيات محلياً إلى مستوى SYSTEM بسبب خطأ في تعامل Defender مع روابط الملفات.
الثغرة CVE‑2026‑45498 قد تسبب تعطّل خدمة Defender مؤقتاً، ما قد يفتح نافذة للهجمات أثناء توقف الحماية.
What are the newly disclosed Microsoft Defender zero‑day vulnerabilities patched in the May 20 out‑of‑band update (including CVE‑2026‑41091Microsoft patched two actively exploited Defender vulnerabilities in an out‑of‑band update on May 20, 2026.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: What are the newly disclosed Microsoft Defender zero‑day vulnerabilities patched in the May 20 out‑of‑band update (including CVE‑2026‑41091. Article summary: Microsoft’s May 20, 2026 out-of-band Defender update addressed two newly disclosed, actively exploited Defender flaws: CVE-2026-41091, a local privilege-escalation link-following bug, and CVE-2026-45498, a Defender denia. Topic tags: general, government, general web, user generated, education. Reference image context from search candidates: Reference image 1: visual subject ""The May 2026 Patch Tuesday Release breaks a long-standing streak as the first release in nearly two years not to include a zero-day," said Satnam Narang, senior staff research eng" source context "No Zero-Days, but Plenty to Patch in Microsoft May Update" Reference image 2: visual subject "
openai.com
أصدرت مايكروسوفت تحديثاً أمنياً عاجلاً خارج الجدول في 20 مايو 2026 لمعالجة ثغرتين جديدتين من نوع يوم‑صفر في Microsoft Defender تم استغلالهما بالفعل في هجمات حقيقية. الثغرتان تحملان المعرفين CVE‑2026‑41091 و CVE‑2026‑45498، وتم إدراجهما سريعاً في كتالوج الثغرات المعروفة المستغلة (KEV) التابع لوكالة الأمن السيبراني الأمريكية CISA، وهو مؤشر واضح على وجود استغلال نشط في الهجمات.
تختلف طبيعة الثغرتين تقنياً، لكنهما تستهدفان أحد أهم مكونات الحماية في أنظمة ويندوز، وهو Microsoft Defender، الذي تعتمد عليه الكثير من المؤسسات كخط الدفاع الأول ضد البرمجيات الخبيثة.
الثغرة الأولى: CVE‑2026‑41091 — رفع صلاحيات محلي في Microsoft Defender
تُصنّف هذه الثغرة على أنها ثغرة "اتباع الروابط" (Link‑Following) ناتجة عن طريقة غير صحيحة في تعامل Microsoft Defender مع روابط الملفات قبل الوصول إليها.
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "شرح ثغرتي Microsoft Defender CVE‑2026‑41091 وCVE‑2026‑45498 وكيفية إصلاحهما"؟
أصدرت مايكروسوفت تحديثاً خارجياً عاجلاً في 20 مايو 2026 لإصلاح ثغرتين يوم‑صفر في Microsoft Defender يجري استغلالهما فعلياً في الهجمات السيبرانية.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
أصدرت مايكروسوفت تحديثاً خارجياً عاجلاً في 20 مايو 2026 لإصلاح ثغرتين يوم‑صفر في Microsoft Defender يجري استغلالهما فعلياً في الهجمات السيبرانية. الثغرة CVE‑2026‑41091 تسمح برفع الصلاحيات محلياً إلى مستوى SYSTEM بسبب خطأ في تعامل Defender مع روابط الملفات.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
الثغرة CVE‑2026‑45498 قد تسبب تعطّل خدمة Defender مؤقتاً، ما قد يفتح نافذة للهجمات أثناء توقف الحماية.
شرح ثغرتي Microsoft Defender CVE‑2026‑41091 وCVE‑2026‑45498 وكيفية إصلاحهما
أصدرت مايكروسوفت تحديثاً خارجياً عاجلاً في 20 مايو 2026 لإصلاح ثغرتين يوم‑صفر في Microsoft Defender يجري استغلالهما فعلياً في الهجمات السيبرانية. الثغرة CVE‑2026‑41091 تسمح برفع الصلاحيات محلياً إلى مستوى SYSTEM بسبب خطأ في تعامل Defender مع روابط الملفات.
نشر بواسطةتم التحرير باستخدام GPT-5.5تم إنشاء الصور باستخدام GPT Image 2
أصدرت مايكروسوفت تحديثاً خارجياً عاجلاً في 20 مايو 2026 لإصلاح ثغرتين يوم‑صفر في Microsoft Defender يجري استغلالهما فعلياً في الهجمات السيبرانية.
الثغرة CVE‑2026‑41091 تسمح برفع الصلاحيات محلياً إلى مستوى SYSTEM بسبب خطأ في تعامل Defender مع روابط الملفات.
الثغرة CVE‑2026‑45498 قد تسبب تعطّل خدمة Defender مؤقتاً، ما قد يفتح نافذة للهجمات أثناء توقف الحماية.
What are the newly disclosed Microsoft Defender zero‑day vulnerabilities patched in the May 20 out‑of‑band update (including CVE‑2026‑41091Microsoft patched two actively exploited Defender vulnerabilities in an out‑of‑band update on May 20, 2026.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: What are the newly disclosed Microsoft Defender zero‑day vulnerabilities patched in the May 20 out‑of‑band update (including CVE‑2026‑41091. Article summary: Microsoft’s May 20, 2026 out-of-band Defender update addressed two newly disclosed, actively exploited Defender flaws: CVE-2026-41091, a local privilege-escalation link-following bug, and CVE-2026-45498, a Defender denia. Topic tags: general, government, general web, user generated, education. Reference image context from search candidates: Reference image 1: visual subject ""The May 2026 Patch Tuesday Release breaks a long-standing streak as the first release in nearly two years not to include a zero-day," said Satnam Narang, senior staff research eng" source context "No Zero-Days, but Plenty to Patch in Microsoft May Update" Reference image 2: visual subject "
openai.com
أصدرت مايكروسوفت تحديثاً أمنياً عاجلاً خارج الجدول في 20 مايو 2026 لمعالجة ثغرتين جديدتين من نوع يوم‑صفر في Microsoft Defender تم استغلالهما بالفعل في هجمات حقيقية. الثغرتان تحملان المعرفين CVE‑2026‑41091 و CVE‑2026‑45498، وتم إدراجهما سريعاً في كتالوج الثغرات المعروفة المستغلة (KEV) التابع لوكالة الأمن السيبراني الأمريكية CISA، وهو مؤشر واضح على وجود استغلال نشط في الهجمات.
تختلف طبيعة الثغرتين تقنياً، لكنهما تستهدفان أحد أهم مكونات الحماية في أنظمة ويندوز، وهو Microsoft Defender، الذي تعتمد عليه الكثير من المؤسسات كخط الدفاع الأول ضد البرمجيات الخبيثة.
الثغرة الأولى: CVE‑2026‑41091 — رفع صلاحيات محلي في Microsoft Defender
تُصنّف هذه الثغرة على أنها ثغرة "اتباع الروابط" (Link‑Following) ناتجة عن طريقة غير صحيحة في تعامل Microsoft Defender مع روابط الملفات قبل الوصول إليها.
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "شرح ثغرتي Microsoft Defender CVE‑2026‑41091 وCVE‑2026‑45498 وكيفية إصلاحهما"؟
أصدرت مايكروسوفت تحديثاً خارجياً عاجلاً في 20 مايو 2026 لإصلاح ثغرتين يوم‑صفر في Microsoft Defender يجري استغلالهما فعلياً في الهجمات السيبرانية.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
أصدرت مايكروسوفت تحديثاً خارجياً عاجلاً في 20 مايو 2026 لإصلاح ثغرتين يوم‑صفر في Microsoft Defender يجري استغلالهما فعلياً في الهجمات السيبرانية. الثغرة CVE‑2026‑41091 تسمح برفع الصلاحيات محلياً إلى مستوى SYSTEM بسبب خطأ في تعامل Defender مع روابط الملفات.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
الثغرة CVE‑2026‑45498 قد تسبب تعطّل خدمة Defender مؤقتاً، ما قد يفتح نافذة للهجمات أثناء توقف الحماية.
في بعض الحالات، قد يقوم Defender باتباع رابط رمزي (Symbolic Link) أو نقطة إعادة توجيه في نظام الملفات تم إنشاؤها بواسطة مستخدم عادي، مما يجعله يتعامل مع ملف مختلف عن الملف المقصود.
المشكلة أن Defender ينفّذ بعض العمليات بامتيازات عالية. وإذا تم توجيه هذه العمليات إلى ملف حساس في النظام عبر رابط خبيث، فقد يتمكن المهاجم من رفع صلاحياته إلى مستوى SYSTEM — وهو أعلى مستوى تحكم في ويندوز.
أهم خصائص الثغرة:
نوع الثغرة: معالجة غير صحيحة للروابط في نظام الملفات (link following)
التأثير: رفع صلاحيات محلي إلى مستوى SYSTEM
درجة الخطورة (CVSS 3.1): 7.8 – مرتفعة
يتطلب الاستغلال وجود مستخدم محلي مسجّل الدخول وليس هجوماً عن بُعد.
غالباً ما يتم استغلال هذا النوع من الثغرات عبر الخطوات التالية:
إنشاء رابط رمزي أو junction أو reparse point خبيث
إجبار Defender على الوصول إلى الملف المرتبط
إعادة توجيه العملية إلى ملف نظام حساس
ورغم أن التفاصيل التقنية الكاملة للاستغلال لم تُنشر علناً، فإن هذا النوع من الهجمات معروف جيداً ويُستخدم كثيراً ضمن سلاسل رفع الصلاحيات بعد الاختراق الأولي.
الثغرة الثانية: CVE‑2026‑45498 — تعطيل خدمة Microsoft Defender
الثغرة الثانية تسمح للمهاجم بإحداث حالة حجب خدمة (Denial of Service) في Microsoft Defender.
التفاصيل التقنية المتاحة حالياً محدودة، لكن الوثائق العامة تشير إلى أن استغلالها قد يؤدي إلى:
تعطل مكونات Defender
توقف عمليات الفحص الأمني
تعطيل مؤقت لآليات الحماية
وبما أن Defender يوفر حماية فورية للنظام (Real‑time protection)، فإن تعطيله ولو مؤقتاً قد يمنح المهاجمين فرصة لتنفيذ برمجيات خبيثة دون اكتشافها.
حتى الآن، لم يتم نشر طريقة الاستغلال الدقيقة لهذه الثغرة في المصادر العامة.
أدلة على الاستغلال الفعلي في الهجمات
أكدت مايكروسوفت أن كلتا الثغرتين تم استغلالهما بالفعل في الهجمات الواقعية قبل إصدار التحديث، وهو السبب الرئيسي لإصدار التحديث العاجل خارج دورة التحديثات المعتادة.
ومن أبرز المؤشرات على ذلك:
إدراج الثغرتين في كتالوج KEV التابع لـ CISA، والذي يضم فقط الثغرات التي ثبت استغلالها فعلياً.
تقارير أمنية تشير إلى أن مايكروسوفت أكدت وجود استغلال نشط لهاتين الثغرتين.
قواعد بيانات الثغرات تصنفهما كـ ثغرات عالية الخطورة يتم استغلالها حالياً.
حتى الآن لم تُنشر عينات استغلال عامة أو مؤشرات اختراق (IOCs) مفصلة في المصادر المتاحة.
الأنظمة والإصدارات المتأثرة
تؤثر الثغرتان على مكونات Microsoft Defender نفسها وليس فقط على إصدار ويندوز، ما يعني أن الخطر يعتمد أساساً على إصدار منصة Defender ومحرك مكافحة البرمجيات الخبيثة.
الأنظمة المتأثرة تشمل:
أجهزة Windows 11 التي تستخدم Microsoft Defender
خوادم Windows Server التي تعتمد على Defender
الأنظمة المؤسسية التي تستخدم Microsoft Malware Protection Engine
وتشير التنبيهات الأمنية إلى أن الإصدارات المتأثرة تشمل:
محرك الحماية قبل الإصدار 1.1.26040.8
منصة Defender قبل الإصدار 4.18.26040.7
من المهم معرفة أن تحديثات Defender قد تُنشر بشكل مستقل عن تحديثات نظام ويندوز، لذلك لا يكفي الاعتماد على تحديث النظام فقط — بل يجب التأكد من تحديث مكونات Defender نفسها.
هل لها علاقة بحملة "Nightmare‑Eclipse"؟
ناقش باحثون أمنيون خلال 2026 سلسلة من استغلالات يوم‑صفر تستهدف أدوات أمان مايكروسوفت مرتبطة بجهة تهديد تُعرف باسم Nightmare‑Eclipse أو Chaotic Eclipse.
وفق تقارير أمنية، نشر هذا الفاعل عدة استغلالات لأنظمة ويندوز وأدوات Defender بعد خلاف مع مايكروسوفت حول آلية الإفصاح عن الثغرات.
ومع ذلك، لا توجد أدلة مؤكدة تربط الثغرتين CVE‑2026‑41091 أو CVE‑2026‑45498 مباشرة بهذه الحملة. المعلومات المتاحة تشير فقط إلى أنها جزء من موجة أوسع من الثغرات التي تستهدف أدوات الحماية في ويندوز.
خطوات الحماية الموصى بها
على المؤسسات ومسؤولي الأنظمة التعامل مع هذه الثغرات كأولوية عاجلة.
الإجراءات الموصى بها تشمل:
تثبيت أحدث تحديثات منصة ومحرك Microsoft Defender الصادرة في تحديث 20 مايو.
التحقق من إصدارات Defender الفعلية على الأجهزة وليس فقط إصدار ويندوز.
إعطاء أولوية التحديث لـ:
الخوادم
أنظمة VDI
الأجهزة متعددة المستخدمين
أجهزة المطورين
مراقبة سلوك Defender بحثاً عن تعطل غير طبيعي أو إعادة تشغيل للخدمة.
فحص النظام بحثاً عن روابط رمزية أو نقاط إعادة توجيه مشبوهة داخل مجلدات المستخدم.
وفي حال تعذر تثبيت التحديث فوراً، يُنصح بـ:
تقليل وصول المستخدمين المحليين
تقليل الصلاحيات الإدارية
مراقبة حالة حماية Defender باستمرار
لماذا تُعد هذه الثغرات خطيرة؟
المشكلة في الثغرات التي تصيب أدوات الحماية نفسها أنها قد تحول أداة الدفاع إلى نقطة هجوم.
يعمل Microsoft Defender بامتيازات عالية داخل النظام ومتكامل بعمق مع ويندوز، لذلك فإن أي خلل في طريقة تعامله مع الملفات أو الخدمات قد يمنح المهاجمين قدرة كبيرة على السيطرة على الجهاز.
ويؤكد تحديث 20 مايو درساً أمنياً مهماً: حتى أدوات الحماية يمكن أن تصبح سطح هجوم إذا لم يتم تحديثها بسرعة.
بالنسبة للمؤسسات ومسؤولي الأنظمة، الرسالة واضحة: يجب نشر تحديثات Defender بسرعة على جميع الأجهزة لتقليل فرصة الاستغلال.
في بعض الحالات، قد يقوم Defender باتباع رابط رمزي (Symbolic Link) أو نقطة إعادة توجيه في نظام الملفات تم إنشاؤها بواسطة مستخدم عادي، مما يجعله يتعامل مع ملف مختلف عن الملف المقصود.
المشكلة أن Defender ينفّذ بعض العمليات بامتيازات عالية. وإذا تم توجيه هذه العمليات إلى ملف حساس في النظام عبر رابط خبيث، فقد يتمكن المهاجم من رفع صلاحياته إلى مستوى SYSTEM — وهو أعلى مستوى تحكم في ويندوز.
أهم خصائص الثغرة:
نوع الثغرة: معالجة غير صحيحة للروابط في نظام الملفات (link following)
التأثير: رفع صلاحيات محلي إلى مستوى SYSTEM
درجة الخطورة (CVSS 3.1): 7.8 – مرتفعة
يتطلب الاستغلال وجود مستخدم محلي مسجّل الدخول وليس هجوماً عن بُعد.
غالباً ما يتم استغلال هذا النوع من الثغرات عبر الخطوات التالية:
إنشاء رابط رمزي أو junction أو reparse point خبيث
إجبار Defender على الوصول إلى الملف المرتبط
إعادة توجيه العملية إلى ملف نظام حساس
ورغم أن التفاصيل التقنية الكاملة للاستغلال لم تُنشر علناً، فإن هذا النوع من الهجمات معروف جيداً ويُستخدم كثيراً ضمن سلاسل رفع الصلاحيات بعد الاختراق الأولي.
الثغرة الثانية: CVE‑2026‑45498 — تعطيل خدمة Microsoft Defender
الثغرة الثانية تسمح للمهاجم بإحداث حالة حجب خدمة (Denial of Service) في Microsoft Defender.
التفاصيل التقنية المتاحة حالياً محدودة، لكن الوثائق العامة تشير إلى أن استغلالها قد يؤدي إلى:
تعطل مكونات Defender
توقف عمليات الفحص الأمني
تعطيل مؤقت لآليات الحماية
وبما أن Defender يوفر حماية فورية للنظام (Real‑time protection)، فإن تعطيله ولو مؤقتاً قد يمنح المهاجمين فرصة لتنفيذ برمجيات خبيثة دون اكتشافها.
حتى الآن، لم يتم نشر طريقة الاستغلال الدقيقة لهذه الثغرة في المصادر العامة.
أدلة على الاستغلال الفعلي في الهجمات
أكدت مايكروسوفت أن كلتا الثغرتين تم استغلالهما بالفعل في الهجمات الواقعية قبل إصدار التحديث، وهو السبب الرئيسي لإصدار التحديث العاجل خارج دورة التحديثات المعتادة.
ومن أبرز المؤشرات على ذلك:
إدراج الثغرتين في كتالوج KEV التابع لـ CISA، والذي يضم فقط الثغرات التي ثبت استغلالها فعلياً.
تقارير أمنية تشير إلى أن مايكروسوفت أكدت وجود استغلال نشط لهاتين الثغرتين.
قواعد بيانات الثغرات تصنفهما كـ ثغرات عالية الخطورة يتم استغلالها حالياً.
حتى الآن لم تُنشر عينات استغلال عامة أو مؤشرات اختراق (IOCs) مفصلة في المصادر المتاحة.
الأنظمة والإصدارات المتأثرة
تؤثر الثغرتان على مكونات Microsoft Defender نفسها وليس فقط على إصدار ويندوز، ما يعني أن الخطر يعتمد أساساً على إصدار منصة Defender ومحرك مكافحة البرمجيات الخبيثة.
الأنظمة المتأثرة تشمل:
أجهزة Windows 11 التي تستخدم Microsoft Defender
خوادم Windows Server التي تعتمد على Defender
الأنظمة المؤسسية التي تستخدم Microsoft Malware Protection Engine
وتشير التنبيهات الأمنية إلى أن الإصدارات المتأثرة تشمل:
محرك الحماية قبل الإصدار 1.1.26040.8
منصة Defender قبل الإصدار 4.18.26040.7
من المهم معرفة أن تحديثات Defender قد تُنشر بشكل مستقل عن تحديثات نظام ويندوز، لذلك لا يكفي الاعتماد على تحديث النظام فقط — بل يجب التأكد من تحديث مكونات Defender نفسها.
هل لها علاقة بحملة "Nightmare‑Eclipse"؟
ناقش باحثون أمنيون خلال 2026 سلسلة من استغلالات يوم‑صفر تستهدف أدوات أمان مايكروسوفت مرتبطة بجهة تهديد تُعرف باسم Nightmare‑Eclipse أو Chaotic Eclipse.
وفق تقارير أمنية، نشر هذا الفاعل عدة استغلالات لأنظمة ويندوز وأدوات Defender بعد خلاف مع مايكروسوفت حول آلية الإفصاح عن الثغرات.
ومع ذلك، لا توجد أدلة مؤكدة تربط الثغرتين CVE‑2026‑41091 أو CVE‑2026‑45498 مباشرة بهذه الحملة. المعلومات المتاحة تشير فقط إلى أنها جزء من موجة أوسع من الثغرات التي تستهدف أدوات الحماية في ويندوز.
خطوات الحماية الموصى بها
على المؤسسات ومسؤولي الأنظمة التعامل مع هذه الثغرات كأولوية عاجلة.
الإجراءات الموصى بها تشمل:
تثبيت أحدث تحديثات منصة ومحرك Microsoft Defender الصادرة في تحديث 20 مايو.
التحقق من إصدارات Defender الفعلية على الأجهزة وليس فقط إصدار ويندوز.
إعطاء أولوية التحديث لـ:
الخوادم
أنظمة VDI
الأجهزة متعددة المستخدمين
أجهزة المطورين
مراقبة سلوك Defender بحثاً عن تعطل غير طبيعي أو إعادة تشغيل للخدمة.
فحص النظام بحثاً عن روابط رمزية أو نقاط إعادة توجيه مشبوهة داخل مجلدات المستخدم.
وفي حال تعذر تثبيت التحديث فوراً، يُنصح بـ:
تقليل وصول المستخدمين المحليين
تقليل الصلاحيات الإدارية
مراقبة حالة حماية Defender باستمرار
لماذا تُعد هذه الثغرات خطيرة؟
المشكلة في الثغرات التي تصيب أدوات الحماية نفسها أنها قد تحول أداة الدفاع إلى نقطة هجوم.
يعمل Microsoft Defender بامتيازات عالية داخل النظام ومتكامل بعمق مع ويندوز، لذلك فإن أي خلل في طريقة تعامله مع الملفات أو الخدمات قد يمنح المهاجمين قدرة كبيرة على السيطرة على الجهاز.
ويؤكد تحديث 20 مايو درساً أمنياً مهماً: حتى أدوات الحماية يمكن أن تصبح سطح هجوم إذا لم يتم تحديثها بسرعة.
بالنسبة للمؤسسات ومسؤولي الأنظمة، الرسالة واضحة: يجب نشر تحديثات Defender بسرعة على جميع الأجهزة لتقليل فرصة الاستغلال.
nvd.nist.govCVE-2026-41091 Detail - NVD
helpnetsecurity.comMicrosoft Defender vulnerabilities exploited in the wild (CVE-2026-41091, CVE-2026-45498) - Help Net Security
cvefeed.ioCVE-2026-41091 - Microsoft Defender Elevation of Privilege ...