RoguePlanet (CVE-2026-50656): ثغرة يوم الصفر في محرك مكافحة البرامج الضارة من مايكروسوفت تمنح صلاحيات SYSTEM
ثغرة CVE 2026 50656، المُسماة RoguePlanet، هي ثغرة رفع صلاحيات محلية يوم صفر في محرك مكافحة البرامج الضارة (MsMpEng) من مايكروسوفت، وتسمح لأي مستخدم عادي على نظام ويندوز 10 أو 11 محدث بالكامل بالحصول على صلاحيات SYSTEM. الثغرة التي اكتشفها ونشرها الباحث الأمني Nightmare Eclipse هي السابعة في حملة مستهدفة ضد مايكروسو...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
ثغرة CVE 2026 50656، المُسماة RoguePlanet، هي ثغرة رفع صلاحيات محلية يوم صفر في محرك مكافحة البرامج الضارة (MsMpEng) من مايكروسوفت، وتسمح لأي مستخدم عادي على نظام ويندوز 10 أو 11 محدث بالكامل بالحصول على صلاحيات SYSTEM.
الثغرة التي اكتشفها ونشرها الباحث الأمني Nightmare Eclipse هي السابعة في حملة مستهدفة ضد مايكروسوفت ديفيندر.
صنفت مايكروسوفت الثغرة بدرجة 7.8 على مقياس CVSS 3.1 (عالية)، وأقرت بها، لكن الفجوة التي استمرت شهرًا بين الإفصاح عن الثغرة وإصدار التصحيح أثارت انتقادات حادة من مجتمع الأمن السيبراني لحجم التأثير الهائل.
Search & fact-check with cited sources for What is the RoguePlanet vulnerability (CVE-2026-50656) in Microsoft Defender, including how it woCVE-2026-50656 (RoguePlanet) exploits a TOCTOU race condition in Microsoft Defender's Malware Protection Engine to grant SYSTEM-level privileges on fully patched Windows systems.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the RoguePlanet vulnerability (CVE-2026-50656) in Microsoft Defender, including how it wo. Article summary: ## What is CVE-2026-50656 (RoguePlanet)?. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
ما هي ثغرة CVE-2026-50656 (RoguePlanet)؟
ثغرة CVE-2026-50656، التي أُطلق عليها الاسم الرمزي RoguePlanet، هي ثغرة رفع صلاحيات محلية (EoP) من نوع يوم صفر (zero-day) في محرك مكافحة البرامج الضارة من مايكروسوفت (MsMpEng)، وهو المحرك الأساسي للمسح الضوئي داخل برنامج مايكروسوفت ديفيندر لمكافحة الفيروسات . تؤثر هذه الثغرة على جميع إصدارات ويندوز 10 وويندوز 11 (Home، Pro، Enterprise، LTSC)، بما في ذلك الأنظمة التي تم تحديثها بالكامل حتى تحديثات Patch Tuesday لشهر يونيو 2026 (KB5094126) .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "RoguePlanet (CVE-2026-50656): ثغرة يوم الصفر في محرك مكافحة البرامج الضارة من مايكروسوفت تمنح صلاحيات SYSTEM"؟
ثغرة CVE 2026 50656، المُسماة RoguePlanet، هي ثغرة رفع صلاحيات محلية يوم صفر في محرك مكافحة البرامج الضارة (MsMpEng) من مايكروسوفت، وتسمح لأي مستخدم عادي على نظام ويندوز 10 أو 11 محدث بالكامل بالحصول على صلاحيات SYSTEM.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
ثغرة CVE 2026 50656، المُسماة RoguePlanet، هي ثغرة رفع صلاحيات محلية يوم صفر في محرك مكافحة البرامج الضارة (MsMpEng) من مايكروسوفت، وتسمح لأي مستخدم عادي على نظام ويندوز 10 أو 11 محدث بالكامل بالحصول على صلاحيات SYSTEM. الثغرة التي اكتشفها ونشرها الباحث الأمني Nightmare Eclipse هي السابعة في حملة مستهدفة ضد مايكروسوفت ديفيندر.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
صنفت مايكروسوفت الثغرة بدرجة 7.8 على مقياس CVSS 3.1 (عالية)، وأقرت بها، لكن الفجوة التي استمرت شهرًا بين الإفصاح عن الثغرة وإصدار التصحيح أثارت انتقادات حادة من مجتمع الأمن السيبراني لحجم التأثير الهائل.
RoguePlanet (CVE-2026-50656): ثغرة يوم الصفر في محرك مكافحة البرامج الضارة من مايكروسوفت تمنح صلاحيات SYSTEM
ثغرة CVE 2026 50656، المُسماة RoguePlanet، هي ثغرة رفع صلاحيات محلية يوم صفر في محرك مكافحة البرامج الضارة (MsMpEng) من مايكروسوفت، وتسمح لأي مستخدم عادي على نظام ويندوز 10 أو 11 محدث بالكامل بالحصول على صلاحيات SYSTEM. الثغرة التي اكتشفها ونشرها الباحث الأمني Nightmare Eclipse هي السابعة في حملة مستهدفة ضد مايكروسو...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
ثغرة CVE 2026 50656، المُسماة RoguePlanet، هي ثغرة رفع صلاحيات محلية يوم صفر في محرك مكافحة البرامج الضارة (MsMpEng) من مايكروسوفت، وتسمح لأي مستخدم عادي على نظام ويندوز 10 أو 11 محدث بالكامل بالحصول على صلاحيات SYSTEM.
الثغرة التي اكتشفها ونشرها الباحث الأمني Nightmare Eclipse هي السابعة في حملة مستهدفة ضد مايكروسوفت ديفيندر.
صنفت مايكروسوفت الثغرة بدرجة 7.8 على مقياس CVSS 3.1 (عالية)، وأقرت بها، لكن الفجوة التي استمرت شهرًا بين الإفصاح عن الثغرة وإصدار التصحيح أثارت انتقادات حادة من مجتمع الأمن السيبراني لحجم التأثير الهائل.
Search & fact-check with cited sources for What is the RoguePlanet vulnerability (CVE-2026-50656) in Microsoft Defender, including how it woCVE-2026-50656 (RoguePlanet) exploits a TOCTOU race condition in Microsoft Defender's Malware Protection Engine to grant SYSTEM-level privileges on fully patched Windows systems.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the RoguePlanet vulnerability (CVE-2026-50656) in Microsoft Defender, including how it wo. Article summary: ## What is CVE-2026-50656 (RoguePlanet)?. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
ما هي ثغرة CVE-2026-50656 (RoguePlanet)؟
ثغرة CVE-2026-50656، التي أُطلق عليها الاسم الرمزي RoguePlanet، هي ثغرة رفع صلاحيات محلية (EoP) من نوع يوم صفر (zero-day) في محرك مكافحة البرامج الضارة من مايكروسوفت (MsMpEng)، وهو المحرك الأساسي للمسح الضوئي داخل برنامج مايكروسوفت ديفيندر لمكافحة الفيروسات . تؤثر هذه الثغرة على جميع إصدارات ويندوز 10 وويندوز 11 (Home، Pro، Enterprise، LTSC)، بما في ذلك الأنظمة التي تم تحديثها بالكامل حتى تحديثات Patch Tuesday لشهر يونيو 2026 (KB5094126) .
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "RoguePlanet (CVE-2026-50656): ثغرة يوم الصفر في محرك مكافحة البرامج الضارة من مايكروسوفت تمنح صلاحيات SYSTEM"؟
ثغرة CVE 2026 50656، المُسماة RoguePlanet، هي ثغرة رفع صلاحيات محلية يوم صفر في محرك مكافحة البرامج الضارة (MsMpEng) من مايكروسوفت، وتسمح لأي مستخدم عادي على نظام ويندوز 10 أو 11 محدث بالكامل بالحصول على صلاحيات SYSTEM.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
ثغرة CVE 2026 50656، المُسماة RoguePlanet، هي ثغرة رفع صلاحيات محلية يوم صفر في محرك مكافحة البرامج الضارة (MsMpEng) من مايكروسوفت، وتسمح لأي مستخدم عادي على نظام ويندوز 10 أو 11 محدث بالكامل بالحصول على صلاحيات SYSTEM. الثغرة التي اكتشفها ونشرها الباحث الأمني Nightmare Eclipse هي السابعة في حملة مستهدفة ضد مايكروسوفت ديفيندر.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
صنفت مايكروسوفت الثغرة بدرجة 7.8 على مقياس CVSS 3.1 (عالية)، وأقرت بها، لكن الفجوة التي استمرت شهرًا بين الإفصاح عن الثغرة وإصدار التصحيح أثارت انتقادات حادة من مجتمع الأمن السيبراني لحجم التأثير الهائل.
كيف تعمل الثغرة: هجوم TOCTOU على محرك مكافحة الفيروسات نفسه
الخلل هو ثغرة سباق (race condition) من نوع Time-of-Check to Time-of-Use (TOCTOU) ناتجة عن مشكلة في تحليل الروابط (CWE-59). يعمل محرك مكافحة البرامج الضارة من مايكروسوفت بصلاحيات NT AUTHORITY\SYSTEM بشكل افتراضي. يستغل الهجوم المحرك ضد نفسه:
يقوم مستخدم بصلاحيات محدودة بإنشاء رابط رمزي (symbolic link) أو ملف مُعد خصيصًا، بحيث يقوم المحرك بفحصه (في مرحلة Time-of-Check) ثم يستبدله قبل أن يستخدمه المحرك (في مرحلة Time-of-Use).
من خلال الفوز بهذا السباق باستخدام قفل oplock للتحكم في التوقيت بشكل موثوق، يُعيد المهاجم توجيه عملية الملف الخاصة بالمحرك إلى موقع عشوائي، مثل مجلد يتحكم به المهاجم .
بعدها، يقوم المحرك بتنفيذ عملية ملف بصلاحيات مرتفعة (مثل الكتابة أو التنفيذ) في المسار الذي اختاره المهاجم، مما يؤدي فعليًا إلى تشغيل واجهة أوامر (command shell) بصلاحيات SYSTEM.
الهجوم محلي، أي يجب أن يكون المهاجم قد حصل بالفعل على وصول كمستخدم عادي إلى الجهاز، لكنه لا يتطلب أي صلاحيات إضافية بعد ذلك . كما أنه يعمل بغض النظر عن تشغيل الحماية في الوقت الفعلي من ديفيندر أو تعطيلها .
درجة CVSS وشدة الثغرة
خصصت مايكروسوفت درجة أساسية 7.8 (عالية) على مقياس CVSS 3.1، مع اعتبار تعقيد الهجوم: منخفض (باعتبار أن قفل oplock يجعل السباق موثوقًا). بينما سجلت قاعدة البيانات الوطنية للثغرات (NVD) درجة أساسية 7.0 (عالية) مع اعتبار تعقيد الهجوم: مرتفع (إقرارًا بصعوبة السباق). ينتج عن المتجه الزمني (E:F/RL:U/RC:C) درجة زمنية تبلغ 7.6 وفقًا لتقييم مايكروسوفت .
تم تصنيف الثغرة ضمن فئة "الاستغلال أكثر احتمالاً" (Exploitation More Likely) على مؤشر قابلية الاستغلال من مايكروسوفت .
الجدول الزمني للإفصاح العام
كانت الفجوة بين إصدار الهجوم العلني وإقرار مايكروسوفت حرجة:
التاريخ
الحدث
10 يونيو 2026
نشر الباحث هجومًا عمليًا علنيًا بعد ساعات من إصدار تحديثات Patch Tuesday لشهر يونيو من مايكروسوفت .
16 يونيو 2026
نشرت مايكروسوفت رسميًا نشرة CVE-2026-50656 وأقرت بوجود الثغرة كيوم صفر .
16–19 يونيو 2026
نُشرت تفاصيل الثغرة في NVD ونشرة مايكروسوفت، وغطتها وسائل الإعلام الأمنية .
حتى 4–10 يوليو 2026
لم يتم إصدار أي تصحيح. لم يتم الإعلان عن أي جدول زمني للتحديث خارج الدورة .
بلغت الفجوة بين إصدار الهجوم العلني (10 يونيو) وإقرار مايكروسوفت (16 يونيو) حوالي 6 أيام. وحتى بداية يوليو 2026، ظل الهجوم علنيًا لمدة شهر تقريبًا دون إصلاح .
من اكتشف الثغرة: حملة Nightmare Eclipse
اكتشف الثغرة ونشرها باحث أمني يعمل تحت الأسماء المستعارة Nightmare Eclipse (المعروف أيضًا باسم Chaotic Eclipse) .
هذا هو الهجوم السابع في حملة الباحث المستمرة التي تستهدف مايكروسوفت ديفيندر. تضمنت الثغرات السابقة التي تم الإفصاح عنها في ديفيندر ثغرات رفع صلاحيات وتجاوز، مثل BlueHammer و RedSun و UnDefend و YellowKey و GreenPlasma. وصفت TechRadar ثغرة RoguePlanet بأنها جزء من "حملة بحثية مستمرة ضد سطح الهجوم في ديفيندر" . أكدت عمليات التحقق المستقلة من قبل مجموعات مثل ThreatLocker موثوقية سلسلة الهجوم .
انتقادات المجتمع للتأخير في إصدار التصحيح
أثارت الفجوة الطويلة في إصدار التصحيح انتقادات حادة من مجتمع الأمن السيبراني:
وصف Red Hound الموقف بصراحة: "هجوم عملي لبرنامج مكافحة الفيروسات الذي يأتي مع كل نسخة من ويندوز أصبح علنيًا لأكثر من أسبوعين، ولا يزال لا يوجد تصحيح" .
أشار Cloud Security Alliance إلى أنه اعتبارًا من 19 يونيو، أي بعد تسعة أيام من الإفصاح، لم يتم الإعلان عن أي تصحيح أو جدول زمني لإصدار تحديث خارج الدورة، واصفًا الفجوة بأنها "مقلقة" لثغرة موجودة في كل نظام ويندوز استهلاكي ومؤسسي .
ذكر cve.tools أنه بحلول 1 يوليو 2026 (21 يومًا بعد الإفصاح)، لم يكن هناك تصحيح، وأن فترة التعرض الطويلة كانت "غير معتادة لثغرة يوم صفر تم استغلالها علنًا في مكون أمني أساسي" .
سلطت مصادر متعددة الضوء على المفارقة في أن محرك مكافحة الفيروسات الخاص بمايكروسوفت، وهو خط الدفاع الأخير، يُستخدم كناقل لاختراق على مستوى SYSTEM، وأن الافتقار إلى الإلحاح من قبل مايكروسوفت يثير تساؤلات حول عمليات الاستجابة للثغرات .
الإحباط الأساسي: نظرًا لأن ديفيندر ممكّن افتراضيًا على جميع تثبيتات ويندوز، فإن الثغرة لها سطح هجوم هائل، ومع ذلك لم يتم إصدار أي تصحيح مؤقت (خارج الدورة) على الرغم من توفر كود الهجوم العملي علنًا .
التخفيفات المؤقتة والخطوات التي يجب على المؤسسات اتخاذها
توصي المصادر باستمرار بالخطوات التالية إلى أن تصدر مايكروسوفت إصلاحًا دائمًا:
تطبيق التصحيح عند توفره
قم بتحديث محرك مكافحة البرامج الضارة من مايكروسوفت (MsMpEng) بمجرد أن تصدر مايكروسوفت تحديثًا أمنيًا. يتم تسليم هذا عادةً من خلال ويندوز أبديت (Windows Update) أو كتالوج تحديثات مايكروسوفت (Microsoft Update Catalog) .
لم يكن هناك أي إصلاح حتى 10 يوليو 2026 – راقب نشرة CVE ومركز استجابة الأمان من مايكروسوفت (MSRC) للحصول على إصدار خارج الدورة .
التخفيفات المؤقتة (في حالة عدم توفر تصحيح)
تقييد حسابات المستخدمين المحليين. نظرًا لأن الهجوم يتطلب تسجيل دخول تفاعلي، قلل عدد المستخدمين العاديين على الأنظمة الحساسة إلى الحد الأدنى .
فرض AppLocker أو WDAC (التحكم في تطبيقات ويندوز ديفيندر) لمنع تشغيل الملفات القابلة للتنفيذ والبرامج النصية غير المصرح بها، بما في ذلك ملفات PoC غير الموثوقة .
تفعيل قواعد تقليل سطح الهجوم (ASR) التي يمكنها منع سرقة بيانات الاعتماد والعمليات غير الموثوقة – على الرغم من أنها قد لا توقف هجوم TOCTOU بشكل مباشر .
مراقبة الأدلة على الهجوم. يعتمد الهجوم على إنشاء أقفال oplocks وروابط رمزية معينة. انشر قواعد EDR لتنبيه الاستخدام غير العادي لأقفال oplocks وإنشاء الروابط الرمزية غير المتوقعة من قبل عمليات غير تابعة لـ SYSTEM .
إعطاء الأولوية لتقييد الوصول المادي/المنطقي إلى أجهزة ويندوز الطرفية للمستخدمين غير الموثوقين أو غير المعروفين. هذا هو الإجراء المؤقت الأكثر موثوقية نظرًا لأن الثغرة تتطلب تنفيذ تعليمات برمجية محلية .
استخدام نماذج الصلاحيات الأقل، لا تمنح حقوق المسؤول المحلي للمستخدمين العاديين، على الرغم من أن هذا لا يمنع الهجوم (فهو يرفع من مستخدم عادي إلى SYSTEM) .
threatprotect.qualys.com
Microsoft Defender Zero-day Vulnerability Exploited in Attacks (CVE ...
كيف تعمل الثغرة: هجوم TOCTOU على محرك مكافحة الفيروسات نفسه
الخلل هو ثغرة سباق (race condition) من نوع Time-of-Check to Time-of-Use (TOCTOU) ناتجة عن مشكلة في تحليل الروابط (CWE-59). يعمل محرك مكافحة البرامج الضارة من مايكروسوفت بصلاحيات NT AUTHORITY\SYSTEM بشكل افتراضي. يستغل الهجوم المحرك ضد نفسه:
يقوم مستخدم بصلاحيات محدودة بإنشاء رابط رمزي (symbolic link) أو ملف مُعد خصيصًا، بحيث يقوم المحرك بفحصه (في مرحلة Time-of-Check) ثم يستبدله قبل أن يستخدمه المحرك (في مرحلة Time-of-Use).
من خلال الفوز بهذا السباق باستخدام قفل oplock للتحكم في التوقيت بشكل موثوق، يُعيد المهاجم توجيه عملية الملف الخاصة بالمحرك إلى موقع عشوائي، مثل مجلد يتحكم به المهاجم .
بعدها، يقوم المحرك بتنفيذ عملية ملف بصلاحيات مرتفعة (مثل الكتابة أو التنفيذ) في المسار الذي اختاره المهاجم، مما يؤدي فعليًا إلى تشغيل واجهة أوامر (command shell) بصلاحيات SYSTEM.
الهجوم محلي، أي يجب أن يكون المهاجم قد حصل بالفعل على وصول كمستخدم عادي إلى الجهاز، لكنه لا يتطلب أي صلاحيات إضافية بعد ذلك . كما أنه يعمل بغض النظر عن تشغيل الحماية في الوقت الفعلي من ديفيندر أو تعطيلها .
درجة CVSS وشدة الثغرة
خصصت مايكروسوفت درجة أساسية 7.8 (عالية) على مقياس CVSS 3.1، مع اعتبار تعقيد الهجوم: منخفض (باعتبار أن قفل oplock يجعل السباق موثوقًا). بينما سجلت قاعدة البيانات الوطنية للثغرات (NVD) درجة أساسية 7.0 (عالية) مع اعتبار تعقيد الهجوم: مرتفع (إقرارًا بصعوبة السباق). ينتج عن المتجه الزمني (E:F/RL:U/RC:C) درجة زمنية تبلغ 7.6 وفقًا لتقييم مايكروسوفت .
تم تصنيف الثغرة ضمن فئة "الاستغلال أكثر احتمالاً" (Exploitation More Likely) على مؤشر قابلية الاستغلال من مايكروسوفت .
الجدول الزمني للإفصاح العام
كانت الفجوة بين إصدار الهجوم العلني وإقرار مايكروسوفت حرجة:
التاريخ
الحدث
10 يونيو 2026
نشر الباحث هجومًا عمليًا علنيًا بعد ساعات من إصدار تحديثات Patch Tuesday لشهر يونيو من مايكروسوفت .
16 يونيو 2026
نشرت مايكروسوفت رسميًا نشرة CVE-2026-50656 وأقرت بوجود الثغرة كيوم صفر .
16–19 يونيو 2026
نُشرت تفاصيل الثغرة في NVD ونشرة مايكروسوفت، وغطتها وسائل الإعلام الأمنية .
حتى 4–10 يوليو 2026
لم يتم إصدار أي تصحيح. لم يتم الإعلان عن أي جدول زمني للتحديث خارج الدورة .
بلغت الفجوة بين إصدار الهجوم العلني (10 يونيو) وإقرار مايكروسوفت (16 يونيو) حوالي 6 أيام. وحتى بداية يوليو 2026، ظل الهجوم علنيًا لمدة شهر تقريبًا دون إصلاح .
من اكتشف الثغرة: حملة Nightmare Eclipse
اكتشف الثغرة ونشرها باحث أمني يعمل تحت الأسماء المستعارة Nightmare Eclipse (المعروف أيضًا باسم Chaotic Eclipse) .
هذا هو الهجوم السابع في حملة الباحث المستمرة التي تستهدف مايكروسوفت ديفيندر. تضمنت الثغرات السابقة التي تم الإفصاح عنها في ديفيندر ثغرات رفع صلاحيات وتجاوز، مثل BlueHammer و RedSun و UnDefend و YellowKey و GreenPlasma. وصفت TechRadar ثغرة RoguePlanet بأنها جزء من "حملة بحثية مستمرة ضد سطح الهجوم في ديفيندر" . أكدت عمليات التحقق المستقلة من قبل مجموعات مثل ThreatLocker موثوقية سلسلة الهجوم .
انتقادات المجتمع للتأخير في إصدار التصحيح
أثارت الفجوة الطويلة في إصدار التصحيح انتقادات حادة من مجتمع الأمن السيبراني:
وصف Red Hound الموقف بصراحة: "هجوم عملي لبرنامج مكافحة الفيروسات الذي يأتي مع كل نسخة من ويندوز أصبح علنيًا لأكثر من أسبوعين، ولا يزال لا يوجد تصحيح" .
أشار Cloud Security Alliance إلى أنه اعتبارًا من 19 يونيو، أي بعد تسعة أيام من الإفصاح، لم يتم الإعلان عن أي تصحيح أو جدول زمني لإصدار تحديث خارج الدورة، واصفًا الفجوة بأنها "مقلقة" لثغرة موجودة في كل نظام ويندوز استهلاكي ومؤسسي .
ذكر cve.tools أنه بحلول 1 يوليو 2026 (21 يومًا بعد الإفصاح)، لم يكن هناك تصحيح، وأن فترة التعرض الطويلة كانت "غير معتادة لثغرة يوم صفر تم استغلالها علنًا في مكون أمني أساسي" .
سلطت مصادر متعددة الضوء على المفارقة في أن محرك مكافحة الفيروسات الخاص بمايكروسوفت، وهو خط الدفاع الأخير، يُستخدم كناقل لاختراق على مستوى SYSTEM، وأن الافتقار إلى الإلحاح من قبل مايكروسوفت يثير تساؤلات حول عمليات الاستجابة للثغرات .
الإحباط الأساسي: نظرًا لأن ديفيندر ممكّن افتراضيًا على جميع تثبيتات ويندوز، فإن الثغرة لها سطح هجوم هائل، ومع ذلك لم يتم إصدار أي تصحيح مؤقت (خارج الدورة) على الرغم من توفر كود الهجوم العملي علنًا .
التخفيفات المؤقتة والخطوات التي يجب على المؤسسات اتخاذها
توصي المصادر باستمرار بالخطوات التالية إلى أن تصدر مايكروسوفت إصلاحًا دائمًا:
تطبيق التصحيح عند توفره
قم بتحديث محرك مكافحة البرامج الضارة من مايكروسوفت (MsMpEng) بمجرد أن تصدر مايكروسوفت تحديثًا أمنيًا. يتم تسليم هذا عادةً من خلال ويندوز أبديت (Windows Update) أو كتالوج تحديثات مايكروسوفت (Microsoft Update Catalog) .
لم يكن هناك أي إصلاح حتى 10 يوليو 2026 – راقب نشرة CVE ومركز استجابة الأمان من مايكروسوفت (MSRC) للحصول على إصدار خارج الدورة .
التخفيفات المؤقتة (في حالة عدم توفر تصحيح)
تقييد حسابات المستخدمين المحليين. نظرًا لأن الهجوم يتطلب تسجيل دخول تفاعلي، قلل عدد المستخدمين العاديين على الأنظمة الحساسة إلى الحد الأدنى .
فرض AppLocker أو WDAC (التحكم في تطبيقات ويندوز ديفيندر) لمنع تشغيل الملفات القابلة للتنفيذ والبرامج النصية غير المصرح بها، بما في ذلك ملفات PoC غير الموثوقة .
تفعيل قواعد تقليل سطح الهجوم (ASR) التي يمكنها منع سرقة بيانات الاعتماد والعمليات غير الموثوقة – على الرغم من أنها قد لا توقف هجوم TOCTOU بشكل مباشر .
مراقبة الأدلة على الهجوم. يعتمد الهجوم على إنشاء أقفال oplocks وروابط رمزية معينة. انشر قواعد EDR لتنبيه الاستخدام غير العادي لأقفال oplocks وإنشاء الروابط الرمزية غير المتوقعة من قبل عمليات غير تابعة لـ SYSTEM .
إعطاء الأولوية لتقييد الوصول المادي/المنطقي إلى أجهزة ويندوز الطرفية للمستخدمين غير الموثوقين أو غير المعروفين. هذا هو الإجراء المؤقت الأكثر موثوقية نظرًا لأن الثغرة تتطلب تنفيذ تعليمات برمجية محلية .
استخدام نماذج الصلاحيات الأقل، لا تمنح حقوق المسؤول المحلي للمستخدمين العاديين، على الرغم من أن هذا لا يمنع الهجوم (فهو يرفع من مستخدم عادي إلى SYSTEM) .
threatprotect.qualys.com
Microsoft Defender Zero-day Vulnerability Exploited in Attacks (CVE ...
