RoguePlanet (CVE-2026-50656): ثغرة يوم الصفر في محرك مكافحة البرامج الضارة من مايكروسوفت تمنح صلاحيات SYSTEM

• يقوم مستخدم بصلاحيات محدودة بإنشاء رابط رمزي (symbolic link) أو ملف مُعد خصيصًا، بحيث يقوم المحرك بفحصه (في مرحلة Time-of-Check) ثم يستبدله قبل أن يستخدمه المحرك (في مرحلة Time-of-Use).
• من خلال الفوز بهذا السباق باستخدام قفل oplock للتحكم في التوقيت بشكل موثوق، يُعيد المهاجم توجيه عملية الملف الخاصة بالمحرك إلى موقع عشوائي، مثل مجلد يتحكم به المهاجم ^PT.
• بعدها، يقوم المحرك بتنفيذ عملية ملف بصلاحيات مرتفعة (مثل الكتابة أو التنفيذ) في المسار الذي اختاره المهاجم، مما يؤدي فعليًا إلى تشغيل واجهة أوامر (command shell) بصلاحيات SYSTEM ^KL.

الهجوم محلي، أي يجب أن يكون المهاجم قد حصل بالفعل على وصول كمستخدم عادي إلى الجهاز، لكنه لا يتطلب أي صلاحيات إضافية بعد ذلك ^C. كما أنه يعمل بغض النظر عن تشغيل الحماية في الوقت الفعلي من ديفيندر أو تعطيلها ^MI.

درجة CVSS وشدة الثغرة

خصصت مايكروسوفت درجة أساسية 7.8 (عالية) على مقياس CVSS 3.1، مع اعتبار تعقيد الهجوم: منخفض (باعتبار أن قفل oplock يجعل السباق موثوقًا). بينما سجلت قاعدة البيانات الوطنية للثغرات (NVD) درجة أساسية 7.0 (عالية) مع اعتبار تعقيد الهجوم: مرتفع (إقرارًا بصعوبة السباق). ينتج عن المتجه الزمني (E:F/RL:U/RC:C) درجة زمنية تبلغ 7.6 وفقًا لتقييم مايكروسوفت ^CLM.

تم تصنيف الثغرة ضمن فئة "الاستغلال أكثر احتمالاً" (Exploitation More Likely) على مؤشر قابلية الاستغلال من مايكروسوفت ^KC.

الجدول الزمني للإفصاح العام

كانت الفجوة بين إصدار الهجوم العلني وإقرار مايكروسوفت حرجة:

بلغت الفجوة بين إصدار الهجوم العلني (10 يونيو) وإقرار مايكروسوفت (16 يونيو) حوالي 6 أيام. وحتى بداية يوليو 2026، ظل الهجوم علنيًا لمدة شهر تقريبًا دون إصلاح ^FT.

من اكتشف الثغرة: حملة Nightmare Eclipse

اكتشف الثغرة ونشرها باحث أمني يعمل تحت الأسماء المستعارة Nightmare Eclipse (المعروف أيضًا باسم Chaotic Eclipse) ^CTH.

هذا هو الهجوم السابع في حملة الباحث المستمرة التي تستهدف مايكروسوفت ديفيندر. تضمنت الثغرات السابقة التي تم الإفصاح عنها في ديفيندر ثغرات رفع صلاحيات وتجاوز، مثل BlueHammer و RedSun و UnDefend و YellowKey و GreenPlasma ^PD. وصفت TechRadar ثغرة RoguePlanet بأنها جزء من "حملة بحثية مستمرة ضد سطح الهجوم في ديفيندر" ^H. أكدت عمليات التحقق المستقلة من قبل مجموعات مثل ThreatLocker موثوقية سلسلة الهجوم ^T.

انتقادات المجتمع للتأخير في إصدار التصحيح

أثارت الفجوة الطويلة في إصدار التصحيح انتقادات حادة من مجتمع الأمن السيبراني:

• وصف Red Hound الموقف بصراحة: "هجوم عملي لبرنامج مكافحة الفيروسات الذي يأتي مع كل نسخة من ويندوز أصبح علنيًا لأكثر من أسبوعين، ولا يزال لا يوجد تصحيح" ^R.
• أشار Cloud Security Alliance إلى أنه اعتبارًا من 19 يونيو، أي بعد تسعة أيام من الإفصاح، لم يتم الإعلان عن أي تصحيح أو جدول زمني لإصدار تحديث خارج الدورة، واصفًا الفجوة بأنها "مقلقة" لثغرة موجودة في كل نظام ويندوز استهلاكي ومؤسسي ^L.
• ذكر cve.tools أنه بحلول 1 يوليو 2026 (21 يومًا بعد الإفصاح)، لم يكن هناك تصحيح، وأن فترة التعرض الطويلة كانت "غير معتادة لثغرة يوم صفر تم استغلالها علنًا في مكون أمني أساسي" ^C.
• سلطت مصادر متعددة الضوء على المفارقة في أن محرك مكافحة الفيروسات الخاص بمايكروسوفت، وهو خط الدفاع الأخير، يُستخدم كناقل لاختراق على مستوى SYSTEM، وأن الافتقار إلى الإلحاح من قبل مايكروسوفت يثير تساؤلات حول عمليات الاستجابة للثغرات ^MH.

الإحباط الأساسي: نظرًا لأن ديفيندر ممكّن افتراضيًا على جميع تثبيتات ويندوز، فإن الثغرة لها سطح هجوم هائل، ومع ذلك لم يتم إصدار أي تصحيح مؤقت (خارج الدورة) على الرغم من توفر كود الهجوم العملي علنًا ^HFL.

التخفيفات المؤقتة والخطوات التي يجب على المؤسسات اتخاذها

توصي المصادر باستمرار بالخطوات التالية إلى أن تصدر مايكروسوفت إصلاحًا دائمًا:

تطبيق التصحيح عند توفره

• قم بتحديث محرك مكافحة البرامج الضارة من مايكروسوفت (MsMpEng) بمجرد أن تصدر مايكروسوفت تحديثًا أمنيًا. يتم تسليم هذا عادةً من خلال ويندوز أبديت (Windows Update) أو كتالوج تحديثات مايكروسوفت (Microsoft Update Catalog) ^W.
• لم يكن هناك أي إصلاح حتى 10 يوليو 2026 – راقب نشرة CVE ومركز استجابة الأمان من مايكروسوفت (MSRC) للحصول على إصدار خارج الدورة ^NC.

التخفيفات المؤقتة (في حالة عدم توفر تصحيح)

• تقييد حسابات المستخدمين المحليين. نظرًا لأن الهجوم يتطلب تسجيل دخول تفاعلي، قلل عدد المستخدمين العاديين على الأنظمة الحساسة إلى الحد الأدنى ^KL.
• فرض AppLocker أو WDAC (التحكم في تطبيقات ويندوز ديفيندر) لمنع تشغيل الملفات القابلة للتنفيذ والبرامج النصية غير المصرح بها، بما في ذلك ملفات PoC غير الموثوقة ^LI.
• تفعيل قواعد تقليل سطح الهجوم (ASR) التي يمكنها منع سرقة بيانات الاعتماد والعمليات غير الموثوقة – على الرغم من أنها قد لا توقف هجوم TOCTOU بشكل مباشر ^F.
• مراقبة الأدلة على الهجوم. يعتمد الهجوم على إنشاء أقفال oplocks وروابط رمزية معينة. انشر قواعد EDR لتنبيه الاستخدام غير العادي لأقفال oplocks وإنشاء الروابط الرمزية غير المتوقعة من قبل عمليات غير تابعة لـ SYSTEM ^LF.
• إعطاء الأولوية لتقييد الوصول المادي/المنطقي إلى أجهزة ويندوز الطرفية للمستخدمين غير الموثوقين أو غير المعروفين. هذا هو الإجراء المؤقت الأكثر موثوقية نظرًا لأن الثغرة تتطلب تنفيذ تعليمات برمجية محلية ^KL.
• استخدام نماذج الصلاحيات الأقل، لا تمنح حقوق المسؤول المحلي للمستخدمين العاديين، على الرغم من أن هذا لا يمنع الهجوم (فهو يرفع من مستخدم عادي إلى SYSTEM) ^CL.