شرح ثغرتي Microsoft Defender CVE‑2026‑41091 وCVE‑2026‑45498 وكيفية إصلاحهما

غالباً ما يتم استغلال هذا النوع من الثغرات عبر الخطوات التالية:

• إنشاء رابط رمزي أو junction أو reparse point خبيث
• إجبار Defender على الوصول إلى الملف المرتبط
• إعادة توجيه العملية إلى ملف نظام حساس

ورغم أن التفاصيل التقنية الكاملة للاستغلال لم تُنشر علناً، فإن هذا النوع من الهجمات معروف جيداً ويُستخدم كثيراً ضمن سلاسل رفع الصلاحيات بعد الاختراق الأولي.

الثغرة الثانية: CVE‑2026‑45498 — تعطيل خدمة Microsoft Defender

الثغرة الثانية تسمح للمهاجم بإحداث حالة حجب خدمة (Denial of Service) في Microsoft Defender.

التفاصيل التقنية المتاحة حالياً محدودة، لكن الوثائق العامة تشير إلى أن استغلالها قد يؤدي إلى:

• تعطل مكونات Defender
• توقف عمليات الفحص الأمني
• تعطيل مؤقت لآليات الحماية

وبما أن Defender يوفر حماية فورية للنظام (Real‑time protection)، فإن تعطيله ولو مؤقتاً قد يمنح المهاجمين فرصة لتنفيذ برمجيات خبيثة دون اكتشافها.

حتى الآن، لم يتم نشر طريقة الاستغلال الدقيقة لهذه الثغرة في المصادر العامة.

أدلة على الاستغلال الفعلي في الهجمات

أكدت مايكروسوفت أن كلتا الثغرتين تم استغلالهما بالفعل في الهجمات الواقعية قبل إصدار التحديث، وهو السبب الرئيسي لإصدار التحديث العاجل خارج دورة التحديثات المعتادة.

ومن أبرز المؤشرات على ذلك:

• إدراج الثغرتين في كتالوج KEV التابع لـ CISA، والذي يضم فقط الثغرات التي ثبت استغلالها فعلياً.
• تقارير أمنية تشير إلى أن مايكروسوفت أكدت وجود استغلال نشط لهاتين الثغرتين.
• قواعد بيانات الثغرات تصنفهما كـ ثغرات عالية الخطورة يتم استغلالها حالياً.

حتى الآن لم تُنشر عينات استغلال عامة أو مؤشرات اختراق (IOCs) مفصلة في المصادر المتاحة.

الأنظمة والإصدارات المتأثرة

تؤثر الثغرتان على مكونات Microsoft Defender نفسها وليس فقط على إصدار ويندوز، ما يعني أن الخطر يعتمد أساساً على إصدار منصة Defender ومحرك مكافحة البرمجيات الخبيثة.

الأنظمة المتأثرة تشمل:

• أجهزة Windows 11 التي تستخدم Microsoft Defender
• خوادم Windows Server التي تعتمد على Defender
• الأنظمة المؤسسية التي تستخدم Microsoft Malware Protection Engine

وتشير التنبيهات الأمنية إلى أن الإصدارات المتأثرة تشمل:

• محرك الحماية قبل الإصدار 1.1.26040.8
• منصة Defender قبل الإصدار 4.18.26040.7

من المهم معرفة أن تحديثات Defender قد تُنشر بشكل مستقل عن تحديثات نظام ويندوز، لذلك لا يكفي الاعتماد على تحديث النظام فقط — بل يجب التأكد من تحديث مكونات Defender نفسها.

هل لها علاقة بحملة "Nightmare‑Eclipse"؟

ناقش باحثون أمنيون خلال 2026 سلسلة من استغلالات يوم‑صفر تستهدف أدوات أمان مايكروسوفت مرتبطة بجهة تهديد تُعرف باسم Nightmare‑Eclipse أو Chaotic Eclipse.

وفق تقارير أمنية، نشر هذا الفاعل عدة استغلالات لأنظمة ويندوز وأدوات Defender بعد خلاف مع مايكروسوفت حول آلية الإفصاح عن الثغرات.

ومع ذلك، لا توجد أدلة مؤكدة تربط الثغرتين CVE‑2026‑41091 أو CVE‑2026‑45498 مباشرة بهذه الحملة. المعلومات المتاحة تشير فقط إلى أنها جزء من موجة أوسع من الثغرات التي تستهدف أدوات الحماية في ويندوز.

خطوات الحماية الموصى بها

على المؤسسات ومسؤولي الأنظمة التعامل مع هذه الثغرات كأولوية عاجلة.

الإجراءات الموصى بها تشمل:

• تثبيت أحدث تحديثات منصة ومحرك Microsoft Defender الصادرة في تحديث 20 مايو.
• التحقق من إصدارات Defender الفعلية على الأجهزة وليس فقط إصدار ويندوز.
• إعطاء أولوية التحديث لـ:
  • الخوادم
  • أنظمة VDI
  • الأجهزة متعددة المستخدمين
  • أجهزة المطورين
• مراقبة سلوك Defender بحثاً عن تعطل غير طبيعي أو إعادة تشغيل للخدمة.
• فحص النظام بحثاً عن روابط رمزية أو نقاط إعادة توجيه مشبوهة داخل مجلدات المستخدم.

وفي حال تعذر تثبيت التحديث فوراً، يُنصح بـ:

• تقليل وصول المستخدمين المحليين
• تقليل الصلاحيات الإدارية
• مراقبة حالة حماية Defender باستمرار

لماذا تُعد هذه الثغرات خطيرة؟

المشكلة في الثغرات التي تصيب أدوات الحماية نفسها أنها قد تحول أداة الدفاع إلى نقطة هجوم.

يعمل Microsoft Defender بامتيازات عالية داخل النظام ومتكامل بعمق مع ويندوز، لذلك فإن أي خلل في طريقة تعامله مع الملفات أو الخدمات قد يمنح المهاجمين قدرة كبيرة على السيطرة على الجهاز.

ويؤكد تحديث 20 مايو درساً أمنياً مهماً: حتى أدوات الحماية يمكن أن تصبح سطح هجوم إذا لم يتم تحديثها بسرعة.

بالنسبة للمؤسسات ومسؤولي الأنظمة، الرسالة واضحة: يجب نشر تحديثات Defender بسرعة على جميع الأجهزة لتقليل فرصة الاستغلال.