CVE-2026-45659: دليل مسؤولي SharePoint الشامل للتصدي لأحدث ثغرة تنفيذ أوامر عن بُعد

هذا المزيج من الصلاحيات المنخفضة، وعدم الحاجة لتفاعل المستخدم، والوصول الشبكي يجعل هذه الثغرة هدفاً رئيسياً للمخترقين، حيث يمكن لحساب مستخدم عادي واحد تم اختراقه أن يكون بوابة للسيطرة الكاملة على الخادم.

الإصدارات المتأثرة

هذه مشكلة تخص الإصدارات المحلية (On-Premises). الثغرة تؤثر على الإصدارات الثلاثة التالية من خادم SharePoint. ولا تتأثر خدمة SharePoint Online السحابية .

• Microsoft SharePoint Server Subscription Edition (الإصدارات الأقدم من 16.0.5552.1002)
• Microsoft SharePoint Server 2019 (الإصدارات الأقدم من 16.0.10417.20128)
• Microsoft SharePoint Enterprise Server 2016 (الإصدارات الأقدم من 16.0.5552.1002)

لكل إصدار متأثر، وفرت مايكروسوفت تحديثاً ورقم بناء (Build Number) محددين يمكن للمسؤولين استخدامهما للتحقق من مستوى التصحيح. تم إتاحة التصحيح في 12 مايو 2026 كجزء من تحديث أمني قياسي، لكن تم التأكيد عليه بشكل أكبر بعد أن اتضحت خطورته .

نمط متكرر: هجمات إلغاء التسلسل في SharePoint

ثغرة CVE-2026-45659 ليست حادثة معزولة. إنها الأحدث في سلسلة من ثغرات إلغاء التسلسل عالية التأثير في SharePoint التي ابتليت بها عمليات النشر المحلية.

من الأمثلة الرئيسية على ذلك ثغرة CVE-2026-20963، وهي خلل مشابه حصل على درجة خطورة CVSS مؤكدة بلغت 9.8 وكانت شديدة الخطورة لدرجة أن وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) أضافتها إلى كتالوج الثغرات المستغلة بشكل نشط (KEV) في 18 مارس 2026، بعد تأكيد استغلالها الفعلي . وقد أفاد فريق الاستجابة للطوارئ الحاسوبية الأوروبي (CERT-EU) أن مايكروسوفت اضطرت لتحديث تنبيهها الخاص بهذه الثغرة لتوضيح أنه يمكن استغلالها من قبل مهاجم غير مصرح له - أي أن الدخول بحساب لم يكن مطلوباً على الإطلاق .

ثغرات أخرى ذات صلة، مثل CVE-2026-33110، تتضمن أيضاً إلغاء تسلسل بيانات غير موثوقة وتؤثر على خطوط الإنتاج نفسها . النمط واضح: المهاجمون والباحثون الأمنيون يدققون بشكل مكثف في آليات إلغاء التسلسل في SharePoint، ويتم اكتشاف عيوب خطيرة بمعدل ينذر بالخطر. هذا الاتجاه يجعل التصحيح الفوري والمنتظم أكثر أهمية من أي وقت مضى لمسؤولي SharePoint.

استراتيجيات الحماية وخطوات التخفيف

التصحيح هو الحل الوحيد الكامل، لكن اتباع نهج "الدفاع المتعدد الطبقات" يوفر حماية إضافية. للمؤسسات التي يجب أن تشغّل SharePoint محلياً، إليك الخطوات الموصى بها:

1. تطبيق التصحيح فوراً: هذا هو الإجراء الوحيد الأكثر أهمية. قم بتحديد ونشر التحديث الأمني الخاص بنسخة SharePoint لديك، مع إعطاء الأولوية لأي خادم يمكن الوصول إليه من الإنترنت .
2. مراجعة وتقييد صلاحيات المستخدمين: نظراً لأن CVE-2026-45659 تتطلب فقط صلاحيات "عضو موقع"، فإن المراجعة الشاملة لصلاحيات المستخدمين أمر بالغ الأهمية. اعتمد مبدأ "الصلاحيات الأقل" (Least Privilege) وقم بإزالة وصول المستخدمين غير الضروري .
3. تعزيز مراقبة الخادم: قم بنشر حلول كشف التهديدات والاستجابة لها على نقاط النهاية (EDR) للبحث عن أنشطة ما بعد الاستغلال. ينبغي على فرق الأمن مراقبة العمليات المشبوهة المنبثقة من مجموعة تطبيقات SharePoint (w3wp.exe)، والاتصالات الصادرة غير الاعتيادية أو ما يُعرف بـ"قذائف الويب" (Web Shells)، وأي سلوك غير طبيعي من حسابات الخدمة.
4. التحقق من معالجة الثغرات ذات الصلة: يعد تصحيح CVE-2026-45659 أساسياً، لكن الخادم يظل معرضاً للخطر إذا لم يتم تصحيحه للثغرة التي يتم استغلالها بنشاط CVE-2026-20963. استغل دورة التصحيح هذه للتأكد من تطبيق جميع تحديثات الأمان الخاصة بـ SharePoint .
5. تقليص مساحة الهجوم: إذا لم تكن خوادم SharePoint بحاجة لأن تكون متاحة من الإنترنت العام، فقم بتطبيق قيود على مستوى الشبكة لحظر أي وصول خارجي. بالنسبة للخدمات التي يجب أن تكون متاحة للعامة، تأكد من وضعها خلف جدار حماية تطبيقات الويب (WAF) المُعد بقواعد لمنع هجمات إلغاء التسلسل الشائعة.