CVE-2026-45659: دليل مسؤولي SharePoint الشامل للتصدي لأحدث ثغرة تنفيذ أوامر عن بُعد

أصدرت مايكروسوفت تحديثاً أمنياً طارئاً لسد ثغرة خطيرة جديدة في خادم SharePoint، وذلك بعد أسبوعين فقط من تحديثاتها الأمنية الشهرية المعتادة. الثغرة، المسماة CVE-2026-45659، تسمح لمهاجم يمتلك صلاحيات دخول أساسية بالسيطرة الكاملة على الخادم، مما يُسلط الضوء على نمط مقلق من الثغرات الحرجة في عمليات نشر SharePoint المحلية (On-Premises). بالنسبة لفرق الأمن التي تدير مزارع SharePoint الخاصة بها، هذا ليس مجرد تحديث آخر - إنه أولوية عاجلة لا تحتمل التأخير.

تحليل الثغرة: كيف تعمل CVE-2026-45659

ثغرة CVE-2026-45659 هي مثال كلاسيكي وخطير لخلل برمجي يُعرف بـ "إلغاء تسلسل البيانات غير الموثوقة" (Deserialization of Untrusted Data)، والمُسجّل رسمياً بالكود CWE-502 . ببساطة، يقبل خادم SharePoint حزم بيانات معقدة من المستخدمين ويعالجها. بسبب هذه الثغرة، يستطيع المهاجم تصميم حزمة خبيثة، بحيث عندما يقوم الخادم "بفك" (إلغاء تسلسل) هذه الحزمة، يقوم بتنفيذ أوامر برمجية يختارها المهاجم.

المواصفات التقنية للثغرة تجعل استغلالها سهلاً نسبياً:

• درجة الخطورة (CVSS 3.1): 8.8 (عالية) .
• ناقل الهجوم: عبر الشبكة .
• مدى تعقيد الهجوم: منخفض .
• الصلاحيات المطلوبة: منخفضة. يحتاج المهاجم فقط صلاحيات "عضو موقع" (Site Member) أساسية على خادم SharePoint .
• تفاعل المستخدم: لا يتطلب أي تفاعل. يمكن تنفيذ الهجوم دون أن يقوم ضحايا غير منتبهين بالنقر على رابط أو تحميل ملف .
• التأثير: عالي على السرية والسلامة وتوفر الخدمة، مما يعني أن الهجوم الناجح يمكن أن يؤدي إلى اختراق كامل للنظام وتسريب للبيانات .

هذا المزيج من الصلاحيات المنخفضة، وعدم الحاجة لتفاعل المستخدم، والوصول الشبكي يجعل هذه الثغرة هدفاً رئيسياً للمخترقين، حيث يمكن لحساب مستخدم عادي واحد تم اختراقه أن يكون بوابة للسيطرة الكاملة على الخادم.

الإصدارات المتأثرة

هذه مشكلة تخص الإصدارات المحلية (On-Premises). الثغرة تؤثر على الإصدارات الثلاثة التالية من خادم SharePoint. ولا تتأثر خدمة SharePoint Online السحابية .

• Microsoft SharePoint Server Subscription Edition (الإصدارات الأقدم من 16.0.5552.1002)
• Microsoft SharePoint Server 2019 (الإصدارات الأقدم من 16.0.10417.20128)
• Microsoft SharePoint Enterprise Server 2016 (الإصدارات الأقدم من 16.0.5552.1002)

لكل إصدار متأثر، وفرت مايكروسوفت تحديثاً ورقم بناء (Build Number) محددين يمكن للمسؤولين استخدامهما للتحقق من مستوى التصحيح. تم إتاحة التصحيح في 12 مايو 2026 كجزء من تحديث أمني قياسي، لكن تم التأكيد عليه بشكل أكبر بعد أن اتضحت خطورته .

نمط متكرر: هجمات إلغاء التسلسل في SharePoint

ثغرة CVE-2026-45659 ليست حادثة معزولة. إنها الأحدث في سلسلة من ثغرات إلغاء التسلسل عالية التأثير في SharePoint التي ابتليت بها عمليات النشر المحلية.

من الأمثلة الرئيسية على ذلك ثغرة CVE-2026-20963، وهي خلل مشابه حصل على درجة خطورة CVSS مؤكدة بلغت 9.8 وكانت شديدة الخطورة لدرجة أن وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) أضافتها إلى كتالوج الثغرات المستغلة بشكل نشط (KEV) في 18 مارس 2026، بعد تأكيد استغلالها الفعلي . وقد أفاد فريق الاستجابة للطوارئ الحاسوبية الأوروبي (CERT-EU) أن مايكروسوفت اضطرت لتحديث تنبيهها الخاص بهذه الثغرة لتوضيح أنه يمكن استغلالها من قبل مهاجم غير مصرح له - أي أن الدخول بحساب لم يكن مطلوباً على الإطلاق .

ثغرات أخرى ذات صلة، مثل CVE-2026-33110، تتضمن أيضاً إلغاء تسلسل بيانات غير موثوقة وتؤثر على خطوط الإنتاج نفسها . النمط واضح: المهاجمون والباحثون الأمنيون يدققون بشكل مكثف في آليات إلغاء التسلسل في SharePoint، ويتم اكتشاف عيوب خطيرة بمعدل ينذر بالخطر. هذا الاتجاه يجعل التصحيح الفوري والمنتظم أكثر أهمية من أي وقت مضى لمسؤولي SharePoint.

استراتيجيات الحماية وخطوات التخفيف

التصحيح هو الحل الوحيد الكامل، لكن اتباع نهج "الدفاع المتعدد الطبقات" يوفر حماية إضافية. للمؤسسات التي يجب أن تشغّل SharePoint محلياً، إليك الخطوات الموصى بها:

1. تطبيق التصحيح فوراً: هذا هو الإجراء الوحيد الأكثر أهمية. قم بتحديد ونشر التحديث الأمني الخاص بنسخة SharePoint لديك، مع إعطاء الأولوية لأي خادم يمكن الوصول إليه من الإنترنت .
2. مراجعة وتقييد صلاحيات المستخدمين: نظراً لأن CVE-2026-45659 تتطلب فقط صلاحيات "عضو موقع"، فإن المراجعة الشاملة لصلاحيات المستخدمين أمر بالغ الأهمية. اعتمد مبدأ "الصلاحيات الأقل" (Least Privilege) وقم بإزالة وصول المستخدمين غير الضروري .
3. تعزيز مراقبة الخادم: قم بنشر حلول كشف التهديدات والاستجابة لها على نقاط النهاية (EDR) للبحث عن أنشطة ما بعد الاستغلال. ينبغي على فرق الأمن مراقبة العمليات المشبوهة المنبثقة من مجموعة تطبيقات SharePoint (w3wp.exe)، والاتصالات الصادرة غير الاعتيادية أو ما يُعرف بـ"قذائف الويب" (Web Shells)، وأي سلوك غير طبيعي من حسابات الخدمة.
4. التحقق من معالجة الثغرات ذات الصلة: يعد تصحيح CVE-2026-45659 أساسياً، لكن الخادم يظل معرضاً للخطر إذا لم يتم تصحيحه للثغرة التي يتم استغلالها بنشاط CVE-2026-20963. استغل دورة التصحيح هذه للتأكد من تطبيق جميع تحديثات الأمان الخاصة بـ SharePoint .
5. تقليص مساحة الهجوم: إذا لم تكن خوادم SharePoint بحاجة لأن تكون متاحة من الإنترنت العام، فقم بتطبيق قيود على مستوى الشبكة لحظر أي وصول خارجي. بالنسبة للخدمات التي يجب أن تكون متاحة للعامة، تأكد من وضعها خلف جدار حماية تطبيقات الويب (WAF) المُعد بقواعد لمنع هجمات إلغاء التسلسل الشائعة.