اليوم الأول من Pwn2Own Berlin 2026: اختراق Windows 11 وEdge وكشف عشرات الثغرات الصفرية

أكبر جائزة: اختراق صندوق الحماية في Microsoft Edge

أبرز إنجاز في اليوم الأول جاء من الباحث الشهير Cheng‑Da Tsai المعروف باسم Orange Tsai من فريق DEVCORE Research Team.

تمكن Tsai من ربط أربع ثغرات منطقية معًا لتنفيذ ما يُعرف بـ الهروب من صندوق الحماية (Sandbox Escape) في متصفح Microsoft Edge.

هذا النوع من الهجمات مهم جدًا لأن المتصفحات الحديثة تعزل صفحات الويب داخل "صندوق حماية" يمنعها من الوصول إلى بقية النظام. وعند كسر هذا الحاجز يمكن للمهاجم الانتقال من صفحة ويب مخترقة إلى النظام نفسه.

المكافأة كانت ضخمة:

• 175 ألف دولار
• 17.5 نقطة في تصنيف Master of Pwn

وبذلك تصدّر فريق DEVCORE المنافسة في بداية الحدث.

اختراق Windows 11 ثلاث مرات

نظام Windows 11 — وهو النظام الأساسي لمايكروسوفت — كان أيضًا هدفًا رئيسيًا في المسابقة.

خلال اليوم الأول نجح الباحثون في اختراقه ثلاث مرات مختلفة باستخدام ثغرات جديدة تسمح بـ تصعيد الصلاحيات (Privilege Escalation).

أي أن المهاجم الذي يملك وصولًا محدودًا للجهاز يمكنه رفع صلاحياته إلى مستوى أعلى مثل Administrator أو SYSTEM.

أبرز العروض الناجحة كانت:

• Angelboy وTwinkleStar03 من برنامج تدريب DEVCORE — تصعيد صلاحيات في Windows 11 مقابل 30 ألف دولار.
• الباحث Marcin Wiązowski — ثغرة تصعيد صلاحيات أخرى بقيمة 30 ألف دولار.
• Kentaro Kawane من شركة GMO Cybersecurity — ثغرة ثالثة في Windows 11 مقابل 30 ألف دولار.

هذه النتائج تؤكد أن حتى الأنظمة الحديثة ما زالت تحتوي على نقاط ضعف يمكن اكتشافها عبر البحث الأمني المتقدم.

حصيلة اليوم الأول من المسابقة

بنهاية اليوم الأول من Pwn2Own Berlin 2026 كانت النتائج كالتالي:

• 24 ثغرة صفرية فريدة تم استغلالها بنجاح.
• 22 محاولة اختراق استهدفت برامج ومنصات مستخدمة على نطاق واسع.
• 523 ألف دولار مجموع الجوائز المدفوعة للباحثين.

وشملت الأهداف:

• أنظمة التشغيل
• متصفحات الإنترنت
• أدوات الذكاء الاصطناعي
• منصات التطوير والبنية التحتية

وهو ما يعكس اتساع سطح الهجوم في بيئات التكنولوجيا الحديثة.

بالتزامن: ثغرة صفرية في Exchange تُستغل فعليًا

في الوقت الذي كانت فيه الثغرات تُكشف داخل المسابقة، أعلنت مايكروسوفت عن ثغرة مختلفة تمامًا تُستغل بالفعل في هجمات حقيقية.

هذه الثغرة تحمل المعرف CVE‑2026‑42897 وتؤثر على Microsoft Exchange Server المستخدم داخل الشركات.

السبب التقني للمشكلة هو عدم معالجة مدخلات المستخدم بشكل صحيح عند إنشاء صفحات الويب، وهو ما يؤدي إلى ثغرة Cross‑Site Scripting (XSS).

أهم التفاصيل:

• تؤثر على Exchange Server 2016 و2019 وSubscription Edition.
• يمكن استغلالها عبر محتوى خبيث يُنفَّذ داخل جلسات Outlook on the web.
• أكدت مايكروسوفت أنها تُستغل بالفعل في هجمات فعلية.

ورغم تزامن الإعلان مع المسابقة، لا يوجد دليل يؤكد أن هذه الثغرة كانت إحدى ثغرات Pwn2Own.

ماذا يحدث بعد اكتشاف الثغرات في Pwn2Own؟

بعد نجاح أي استغلال في المسابقة، يبدأ ما يسمى الإفصاح المنسق عن الثغرات:

1. تُسلَّم تفاصيل الثغرة سرًا إلى الشركة المطورة.
2. تحصل الشركة عادة على مهلة تقارب 90 يومًا لتطوير التحديث الأمني وإطلاقه.
3. لا تُنشر التفاصيل التقنية للعامة إلا بعد توفر التصحيح الأمني.

هذا النهج يسمح بتحويل أبحاث الاختراق إلى تحسينات أمنية فعلية قبل أن يتمكن المهاجمون من استغلالها.

لماذا هذه النتائج مهمة؟

ما حدث في اليوم الأول من Pwn2Own Berlin 2026 يوضح حقيقتين في عالم الأمن السيبراني:

• حتى الأنظمة الناضجة مثل Windows 11 وMicrosoft Edge قد تحتوي على ثغرات يمكن دمجها في سلاسل هجوم معقدة.
• وفي الوقت نفسه يستمر المهاجمون الحقيقيون في استغلال ثغرات صفرية في الأنظمة الإنتاجية مثل ثغرة Exchange المكتشفة حديثًا.

لهذا السبب تُعد مسابقات مثل Pwn2Own جزءًا مهمًا من منظومة الأمن الرقمي: فهي تكشف الثغرات مبكرًا وفي بيئة مسؤولة، قبل أن تتحول إلى أدوات بيد المهاجمين.