CVE-2026-41089: ثغرة Netlogon الأمنية في ويندوز تحت الاستغلال الفعلي الآن

صنف الباحثون الأمنيون ومنصات استخبارات التهديدات هذه الثغرة على أنها "قابلة للانتشار كدودة" (Wormable) بسبب قابليتها للاستغلال قبل المصادقة ودور خوادم التحكم بالمجال المحوري في إدارة الهوية داخل بيئات ويندوز المؤسسية . وقد لخص تقييم من شركة Action1 المخاطر بقولهم: "يمكن لخادم تحكم مجال ضعيف أن يحول طلب شبكة مُصمم خصيصاً إلى طريق مباشر نحو اختراق المؤسسة" . وحذر جيسون كيكتا، مدير التكنولوجيا في Automox، من أن "وجود غابات (Active Directory) مصححة بشكل جزئي ليس حالة يمكن الدفاع عنها لثغرة في خادم التحكم بالمجال قبل المصادقة"، ونصح المسؤولين بتقييد حركة مرور Netlogon على مستوى الشبكة بالإضافة إلى التصحيح .

ظهرت أكواد إثبات مفهوم (PoC) عامة على GitHub، مما يُسرّع تاريخياً من عمليات الاستغلال الجماعي في غضون 24 إلى 72 ساعة . يجب على المؤسسات أن تفترض أن أدوات الفحص والاستغلال الآلي قيد التداول بالفعل.

إصدارات ويندوز سيرفر المتأثرة

تؤثر الثغرة على جميع إصدارات ويندوز سيرفر المدعومة التي تشغّل خدمة Netlogon ولم يتم تصحيحها بعد 12 مايو 2026 . تشير قوائم المنتجات المنشورة من عدة جهات أمنية وقاعدة بيانات NVD إلى الإصدارات الضعيفة التالية :

• ويندوز سيرفر 2012 و 2012 R2 (جميع التنصيبات، بما فيها Server Core)
• ويندوز سيرفر 2016
• ويندوز سيرفر 2019 (بما فيها Server Core)
• ويندوز سيرفر 2022 (إصدارات 21H2، و22H2، و23H2، بما فيها Server Core)
• ويندوز سيرفر 2025

المشكلة موجودة في معالج بروتوكول MS-NRPC ويمكن تحفيزها عبر المنفذ TCP 445 أو المنفذ UDP 389 (منفذ محدد موقع DC)، مما يعني أن مسارات التعرض القياسية لخادم التحكم بالمجال كافية للمهاجم للوصول إلى المسار البرمجي الضعيف .

توفر التحديثات الأمنية

تحديثات مايكروسوفت الرسمية

أصدرت مايكروسوفت تحديثات للثغرة CVE-2026-41089 في 12 مايو 2026 . يجب على المؤسسات أن تطبق فوراً التحديث المناسب لبُنية ويندوز سيرفر الخاصة بها. تدرج قاعدة بيانات Rapid7 للثغرات معرّفات KB التالية للتوزيعات المدعومة :

• ويندوز سيرفر 2012: KB5087470
• ويندوز سيرفر 2012 R2: KB5087471
• ويندوز سيرفر 2016 (1607): KB5087537
• ويندوز سيرفر 2019 (1809): KB5087538
• ويندوز سيرفر 2022 (21H2/22H2): KB5087545
• ويندوز سيرفر 2022 (23H2): KB5087541
• ويندوز سيرفر 2025 (24H2): KB5087539

صَحِّح جميع خوادم التحكم بالمجال في نافذة صيانة واحدة ومضغوطة حيثما كان ذلك ممكناً من الناحية التشغيلية، لأن الثغرة قبل المصادقة ويتم استغلالها بنشاط .

الرقعة المصغرة من 0patch للأنظمة القديمة

للمؤسسات التي تشغل تنصيبات ويندوز سيرفر خرجت من نطاق الدعم ولم تعد قادرة على تلقي تحديثات مايكروسوفت الرسمية، أصدرت شركة Acros Security رقعة مصغرة ومجانية عبر منصتها 0patch . تقدم هذه الرقعة المصغرة إصلاحًا جراحياً بسيطاً: فهي تخفض إلى النصف الحد الأقصى لحجم سلسلة اسم المستخدم التي يتحكم بها المهاجم خلال المعالجة، مما يعطّل تجاوز سعة المخزن المؤقت دون تغيير مسارات برمجية أخرى .

أكدت 0patch توفر الرقعة المصغرة لـ:

• ويندوز سيرفر 2012 (بدون ESU)
• ويندوز سيرفر 2012 R2 (بدون ESU)

يتم نشر الرقعة المصغرة عبر وكيل 0patch وتُطبَق في الذاكرة دون الحاجة لإعادة تشغيل النظام، مما قد يكون مفيدًا للبيئات التي يجب فيها جدولة إعادة تشغيل خوادم التحكم بالمجال بعناية. لطالما قدمت 0patch رقعًا مصغرة للثغرات الحرجة بعد نهاية الدعم لأنظمة مثل ويندوز سيرفر 2008 R2 و2012 و2012 R2 .

إرشادات عاجلة للاستجابة والتخفيف

إزالة المسار البرمجي الضعيف عبر التصحيح لا يكشف أو يزيل المهاجمين الذين قد يكونوا قد استغلوا الثغرة CVE-2026-41089 قبل تطبيق التصحيح. يحذر المركز البلجيكي للأمن السيبراني صراحةً من أن التصحيح يحمي من الاستغلال المستقبلي لكنه لا يعالج الاختراقات التي حدثت سابقاً .

الإجراءات الأساسية من المركز البلجيكي (CCB)

1. التصحيح فوراً بأولوية قصوى — طبّق تحديثات مايكروسوفت الرسمية لشهر مايو 2026 على جميع خوادم التحكم بالمجال. لا تنتظر نافذة الصيانة القادمة: هذا سيناريو استغلال نشط .
2. زيادة الرصد والاكتشاف — ارفع مستوى الرصد لأي نشاط مريب يستهدف خوادم التحكم بالمجال، وخاصة حركة مرور Netlogon غير المعتادة أو أنماط RPC و LDAP غير النمطية .
3. افتراض إمكانية حدوث اختراق سابق — أي خادم تحكم مجال لم يتم تصحيحه وكان معرضاً للشبكة بين 12 مايو ووقت تطبيق التصحيح، يجب أن يخضع لمراجعة جنائية (Forensic Review) بحثاً عن علامات اقتحام .
4. ضغط نافذة التصحيح — قم بالمرور على جميع خوادم التحكم بالمجال في أقل عدد ممكن من دورات الصيانة. غابة (Active Directory) مصححة بشكل جزئي هي غابة قابلة للاستغلال .
5. إعادة التحقق بعد التصحيح — أعد تشغيل فحوصات التحقق من التصحيح وتقييمات التعرض للتأكد من عدم بقاء أي خوادم تحكم مجال ضعيفة يمكن الوصول إليها .

إجراءات دفاعية إضافية من الخبراء

• تقسيم خوادم التحكم بالمجال — قيّد الوصول الشبكي لخوادم التحكم بالمجال بحيث لا تصل إليها سوى حركة المرور الإدارية وحركة البنية التحتية المصرح بها بشكل صريح. احظر المنافذ المتعلقة بـ Netlogon (TCP 445، UDP 389) من الشرائح غير الموثوقة والمواجهة للإنترنت على حدود الشبكة والجدران النارية الداخلية.
• تقييد حركة Netlogon على مستوى الشبكة — بخلاف جدران الحماية على المضيفين (Host Firewalls)، طبق ضوابط وصول على مستوى الشبكة لتحديد الأنظمة التي يمكنها حتى بدء الاتصالات بخوادم التحكم بالمجال عبر البروتوكولات الضعيفة.
• تحصين مسارات الوصول المميزة — راجع وقلل الحسابات ذات الصلاحيات للوصول إلى خوادم التحكم بالمجال. غالباً ما يؤدي اختراق سياق SYSTEM لخادم التحكم إلى سرقة بيانات الاعتماد والتحرك الجانبي .
• رصد أنشطة ما بعد الاستغلال — ابحث عن سلوك غير طبيعي للخدمات، أو إعادة تشغيل غير متوقعة لخوادم التحكم بالمجال، أو أعطال في عملية LSASS، أو إنشاء حسابات مسؤول جديدة، أو طلبات غير طبيعية لتذاكر Kerberos. قد تشير هذه إلى استغلال أو مراحل هجوم لاحقة .
• اعتماد وضعية "افتراض الاختراق" الكاملة — إلى أن تكتمل المراجعة الجنائية الشاملة، تعامل مع جميع خوادم التحكم بالمجال التي لم تكن مصححة سابقاً على أنها مخترقة محتملة.

ملاحظة هامة: EPSS والإدراك

بينما تم الإبلاغ عن احتمالية EPSS (نظام تسجيل توقع الاستغلال) لهذه الثغرة بنسبة 0.09% ، فإن EPSS هو نموذج احتمالي تم تدريبه على بيانات سابقة ولا يأخذ في الاعتبار الاستغلال النشط الذي تم تأكيده بالفعل في هجمات واقعية. بمجرد إصدار هيئة وطنية للأمن السيبراني مثل CCB تحذيرًا من الاستغلال النشط، يجب على المؤسسات تحديد الأولويات بناءً على نشاط التهديد المؤكد في العالم الحقيقي وليس بناءً على التنبؤات الإحصائية وحدها.