CVE-2026-41089: ثغرة Netlogon الأمنية في ويندوز تحت الاستغلال الفعلي الآن
ثغرة CVE 2026 41089 هي ثغرة حرجة 9.8 من نوع RCE بدون نقرات في خدمة Windows Netlogon، يتم استغلالها بنشاط الآن مما يسمح للمهاجمين بالسيطرة الكاملة على خوادم التحكم بالمجال عبر حزمة واحدة فقط. مركز الأمن السيبراني البلجيكي (CCB) أكد الاستغلال النشط في 29 مايو 2026، مما يعني أن أي خادم تحكم غير مصحح ومعرّض للشبكة يجب...
ثغرة CVE 2026 41089 هي ثغرة حرجة 9.8 من نوع RCE بدون نقرات في خدمة Windows Netlogon، يتم استغلالها بنشاط الآن مما يسمح للمهاجمين بالسيطرة الكاملة على خوادم التحكم بالمجال عبر حزمة واحدة فقط.
مركز الأمن السيبراني البلجيكي (CCB) أكد الاستغلال النشط في 29 مايو 2026، مما يعني أن أي خادم تحكم غير مصحح ومعرّض للشبكة يجب أن يُعتبر مخترقاً.
أصدرت 0patch رقعة مصغرة مجانية للأنظمة القديمة خارج الدعم (2012, 2012 R2) تعمل على تحييد الهجوم، مما يوفر حلاً للمؤسسات التي لا تملك تراخيص التحديثات الممتدة.
What is CVE-2026-41089, a critical Windows Netlogon remote code execution vulnerability now actively exploited in the wild — including its CCVE-2026-41089 enables unauthenticated remote code execution on Windows domain controllers via the Netlogon service. Image: AI-generated editorial illustration.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: What is CVE-2026-41089, a critical Windows Netlogon remote code execution vulnerability now actively exploited in the wild — including its C. Article summary: Here is the full picture on CVE-2026-41089.. Topic tags: general, general web, government. Reference image context from search candidates: Reference image 1: visual subject "CVE-2026-41089 is a Critical RCE vulnerability affecting Windows Netlogon and has a CVSS score of 9.8. A stack-based buffer overflow flaw (CWE-" source context "May 2026 Patch Tuesday: Updates and Analysis | CrowdStrike" Reference image 2: visual subject "CVE-2026-41089 is a critical Windows Netlogon RCE affecting domain controllers. Learn what is known, how to verify exposure, detect abuse," source context "CVE-2026-41089, Windows Netlogon RCE and the Domain Controller Blast Radius" Style:
openai.com
تحولت ثغرة أمنية حرجة في مكون Netlogon على أنظمة ويندوز من توصية "صَحِّح بسرعة" إلى حالة طوارئ تستوجب افتراض حدوث الاختراق. حذر مركز الأمن السيبراني البلجيكي (CCB) يوم الجمعة 29 مايو 2026 من أن جهات تهديدية تستغل الآن الثغرة CVE-2026-41089 على أرض الواقع، محولةً خوادم التحكم بالمجال (Domain Controllers) غير المحدثة إلى أهداف رئيسية لاختراق كامل للشبكات المؤسسية .
تم الكشف عن هذه الثغرة وأصدرت مايكروسوفت تحديثًا لمعالجتها في 12 مايو ضمن حزمة "الثلاثاء المُصحَّح" (Patch Tuesday) لشهر مايو. تتمثل المشكلة في "تجاوز سعة المخزن المؤقت" (Buffer Overflow) في كيفية معالجة خدمة Netlogon لطلبات شبكة مصممة خصيصاً. ولأن Netlogon تعمل قبل عملية المصادقة، لا يحتاج المهاجم المتواجد على الشبكة – أو القادر على الوصول إلى خادم تحكم مجال مكشوف – إلى أكثر من حزمة بيانات واحدة لتنفيذ تعليمات برمجية عشوائية بصلاحيات النظام (SYSTEM) . كل ساعة تمر دون تصحيح خوادم التحكم بالمجال تمثل نافذة يمكن للمهاجم خلالها ترسيخ وجوده، وهو ما لن يمحوه تحديث لاحق.
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "CVE-2026-41089: ثغرة Netlogon الأمنية في ويندوز تحت الاستغلال الفعلي الآن"؟
ثغرة CVE 2026 41089 هي ثغرة حرجة 9.8 من نوع RCE بدون نقرات في خدمة Windows Netlogon، يتم استغلالها بنشاط الآن مما يسمح للمهاجمين بالسيطرة الكاملة على خوادم التحكم بالمجال عبر حزمة واحدة فقط.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
ثغرة CVE 2026 41089 هي ثغرة حرجة 9.8 من نوع RCE بدون نقرات في خدمة Windows Netlogon، يتم استغلالها بنشاط الآن مما يسمح للمهاجمين بالسيطرة الكاملة على خوادم التحكم بالمجال عبر حزمة واحدة فقط. مركز الأمن السيبراني البلجيكي (CCB) أكد الاستغلال النشط في 29 مايو 2026، مما يعني أن أي خادم تحكم غير مصحح ومعرّض للشبكة يجب أن يُعتبر مخترقاً.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
أصدرت 0patch رقعة مصغرة مجانية للأنظمة القديمة خارج الدعم (2012, 2012 R2) تعمل على تحييد الهجوم، مما يوفر حلاً للمؤسسات التي لا تملك تراخيص التحديثات الممتدة.
CVE-2026-41089: ثغرة Netlogon الأمنية في ويندوز تحت الاستغلال الفعلي الآن
ثغرة CVE 2026 41089 هي ثغرة حرجة 9.8 من نوع RCE بدون نقرات في خدمة Windows Netlogon، يتم استغلالها بنشاط الآن مما يسمح للمهاجمين بالسيطرة الكاملة على خوادم التحكم بالمجال عبر حزمة واحدة فقط. مركز الأمن السيبراني البلجيكي (CCB) أكد الاستغلال النشط في 29 مايو 2026، مما يعني أن أي خادم تحكم غير مصحح ومعرّض للشبكة يجب...
ثغرة CVE 2026 41089 هي ثغرة حرجة 9.8 من نوع RCE بدون نقرات في خدمة Windows Netlogon، يتم استغلالها بنشاط الآن مما يسمح للمهاجمين بالسيطرة الكاملة على خوادم التحكم بالمجال عبر حزمة واحدة فقط.
مركز الأمن السيبراني البلجيكي (CCB) أكد الاستغلال النشط في 29 مايو 2026، مما يعني أن أي خادم تحكم غير مصحح ومعرّض للشبكة يجب أن يُعتبر مخترقاً.
أصدرت 0patch رقعة مصغرة مجانية للأنظمة القديمة خارج الدعم (2012, 2012 R2) تعمل على تحييد الهجوم، مما يوفر حلاً للمؤسسات التي لا تملك تراخيص التحديثات الممتدة.
What is CVE-2026-41089, a critical Windows Netlogon remote code execution vulnerability now actively exploited in the wild — including its CCVE-2026-41089 enables unauthenticated remote code execution on Windows domain controllers via the Netlogon service. Image: AI-generated editorial illustration.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: What is CVE-2026-41089, a critical Windows Netlogon remote code execution vulnerability now actively exploited in the wild — including its C. Article summary: Here is the full picture on CVE-2026-41089.. Topic tags: general, general web, government. Reference image context from search candidates: Reference image 1: visual subject "CVE-2026-41089 is a Critical RCE vulnerability affecting Windows Netlogon and has a CVSS score of 9.8. A stack-based buffer overflow flaw (CWE-" source context "May 2026 Patch Tuesday: Updates and Analysis | CrowdStrike" Reference image 2: visual subject "CVE-2026-41089 is a critical Windows Netlogon RCE affecting domain controllers. Learn what is known, how to verify exposure, detect abuse," source context "CVE-2026-41089, Windows Netlogon RCE and the Domain Controller Blast Radius" Style:
openai.com
تحولت ثغرة أمنية حرجة في مكون Netlogon على أنظمة ويندوز من توصية "صَحِّح بسرعة" إلى حالة طوارئ تستوجب افتراض حدوث الاختراق. حذر مركز الأمن السيبراني البلجيكي (CCB) يوم الجمعة 29 مايو 2026 من أن جهات تهديدية تستغل الآن الثغرة CVE-2026-41089 على أرض الواقع، محولةً خوادم التحكم بالمجال (Domain Controllers) غير المحدثة إلى أهداف رئيسية لاختراق كامل للشبكات المؤسسية .
تم الكشف عن هذه الثغرة وأصدرت مايكروسوفت تحديثًا لمعالجتها في 12 مايو ضمن حزمة "الثلاثاء المُصحَّح" (Patch Tuesday) لشهر مايو. تتمثل المشكلة في "تجاوز سعة المخزن المؤقت" (Buffer Overflow) في كيفية معالجة خدمة Netlogon لطلبات شبكة مصممة خصيصاً. ولأن Netlogon تعمل قبل عملية المصادقة، لا يحتاج المهاجم المتواجد على الشبكة – أو القادر على الوصول إلى خادم تحكم مجال مكشوف – إلى أكثر من حزمة بيانات واحدة لتنفيذ تعليمات برمجية عشوائية بصلاحيات النظام (SYSTEM) . كل ساعة تمر دون تصحيح خوادم التحكم بالمجال تمثل نافذة يمكن للمهاجم خلالها ترسيخ وجوده، وهو ما لن يمحوه تحديث لاحق.
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "CVE-2026-41089: ثغرة Netlogon الأمنية في ويندوز تحت الاستغلال الفعلي الآن"؟
ثغرة CVE 2026 41089 هي ثغرة حرجة 9.8 من نوع RCE بدون نقرات في خدمة Windows Netlogon، يتم استغلالها بنشاط الآن مما يسمح للمهاجمين بالسيطرة الكاملة على خوادم التحكم بالمجال عبر حزمة واحدة فقط.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
ثغرة CVE 2026 41089 هي ثغرة حرجة 9.8 من نوع RCE بدون نقرات في خدمة Windows Netlogon، يتم استغلالها بنشاط الآن مما يسمح للمهاجمين بالسيطرة الكاملة على خوادم التحكم بالمجال عبر حزمة واحدة فقط. مركز الأمن السيبراني البلجيكي (CCB) أكد الاستغلال النشط في 29 مايو 2026، مما يعني أن أي خادم تحكم غير مصحح ومعرّض للشبكة يجب أن يُعتبر مخترقاً.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
أصدرت 0patch رقعة مصغرة مجانية للأنظمة القديمة خارج الدعم (2012, 2012 R2) تعمل على تحييد الهجوم، مما يوفر حلاً للمؤسسات التي لا تملك تراخيص التحديثات الممتدة.
حصلت الثغرة CVE-2026-41089 على تقييم شدة 9.8 حرج (Critical) وفق نظام CVSS 3.1، مع متجه يوضح أنها قابلة للاستغلال عبر الشبكة، منخفضة التعقيد، لا تتطلب أي صلاحيات، ولا تحتاج لأي تفاعل من المستخدم . النتيجة هي اختراق كامل لسرية النظام وسلامته وتوافره.
صنف الباحثون الأمنيون ومنصات استخبارات التهديدات هذه الثغرة على أنها "قابلة للانتشار كدودة" (Wormable) بسبب قابليتها للاستغلال قبل المصادقة ودور خوادم التحكم بالمجال المحوري في إدارة الهوية داخل بيئات ويندوز المؤسسية . وقد لخص تقييم من شركة Action1 المخاطر بقولهم: "يمكن لخادم تحكم مجال ضعيف أن يحول طلب شبكة مُصمم خصيصاً إلى طريق مباشر نحو اختراق المؤسسة" . وحذر جيسون كيكتا، مدير التكنولوجيا في Automox، من أن "وجود غابات (Active Directory) مصححة بشكل جزئي ليس حالة يمكن الدفاع عنها لثغرة في خادم التحكم بالمجال قبل المصادقة"، ونصح المسؤولين بتقييد حركة مرور Netlogon على مستوى الشبكة بالإضافة إلى التصحيح .
ظهرت أكواد إثبات مفهوم (PoC) عامة على GitHub، مما يُسرّع تاريخياً من عمليات الاستغلال الجماعي في غضون 24 إلى 72 ساعة . يجب على المؤسسات أن تفترض أن أدوات الفحص والاستغلال الآلي قيد التداول بالفعل.
إصدارات ويندوز سيرفر المتأثرة
تؤثر الثغرة على جميع إصدارات ويندوز سيرفر المدعومة التي تشغّل خدمة Netlogon ولم يتم تصحيحها بعد 12 مايو 2026 . تشير قوائم المنتجات المنشورة من عدة جهات أمنية وقاعدة بيانات NVD إلى الإصدارات الضعيفة التالية :
ويندوز سيرفر 2012 و 2012 R2 (جميع التنصيبات، بما فيها Server Core)
ويندوز سيرفر 2016
ويندوز سيرفر 2019 (بما فيها Server Core)
ويندوز سيرفر 2022 (إصدارات 21H2، و22H2، و23H2، بما فيها Server Core)
ويندوز سيرفر 2025
المشكلة موجودة في معالج بروتوكول MS-NRPC ويمكن تحفيزها عبر المنفذ TCP 445 أو المنفذ UDP 389 (منفذ محدد موقع DC)، مما يعني أن مسارات التعرض القياسية لخادم التحكم بالمجال كافية للمهاجم للوصول إلى المسار البرمجي الضعيف .
توفر التحديثات الأمنية
تحديثات مايكروسوفت الرسمية
أصدرت مايكروسوفت تحديثات للثغرة CVE-2026-41089 في 12 مايو 2026 . يجب على المؤسسات أن تطبق فوراً التحديث المناسب لبُنية ويندوز سيرفر الخاصة بها. تدرج قاعدة بيانات Rapid7 للثغرات معرّفات KB التالية للتوزيعات المدعومة :
ويندوز سيرفر 2012: KB5087470
ويندوز سيرفر 2012 R2: KB5087471
ويندوز سيرفر 2016 (1607): KB5087537
ويندوز سيرفر 2019 (1809): KB5087538
ويندوز سيرفر 2022 (21H2/22H2): KB5087545
ويندوز سيرفر 2022 (23H2): KB5087541
ويندوز سيرفر 2025 (24H2): KB5087539
صَحِّح جميع خوادم التحكم بالمجال في نافذة صيانة واحدة ومضغوطة حيثما كان ذلك ممكناً من الناحية التشغيلية، لأن الثغرة قبل المصادقة ويتم استغلالها بنشاط .
الرقعة المصغرة من 0patch للأنظمة القديمة
للمؤسسات التي تشغل تنصيبات ويندوز سيرفر خرجت من نطاق الدعم ولم تعد قادرة على تلقي تحديثات مايكروسوفت الرسمية، أصدرت شركة Acros Security رقعة مصغرة ومجانية عبر منصتها 0patch . تقدم هذه الرقعة المصغرة إصلاحًا جراحياً بسيطاً: فهي تخفض إلى النصف الحد الأقصى لحجم سلسلة اسم المستخدم التي يتحكم بها المهاجم خلال المعالجة، مما يعطّل تجاوز سعة المخزن المؤقت دون تغيير مسارات برمجية أخرى .
أكدت 0patch توفر الرقعة المصغرة لـ:
ويندوز سيرفر 2012 (بدون ESU)
ويندوز سيرفر 2012 R2 (بدون ESU)
يتم نشر الرقعة المصغرة عبر وكيل 0patch وتُطبَق في الذاكرة دون الحاجة لإعادة تشغيل النظام، مما قد يكون مفيدًا للبيئات التي يجب فيها جدولة إعادة تشغيل خوادم التحكم بالمجال بعناية. لطالما قدمت 0patch رقعًا مصغرة للثغرات الحرجة بعد نهاية الدعم لأنظمة مثل ويندوز سيرفر 2008 R2 و2012 و2012 R2 .
إرشادات عاجلة للاستجابة والتخفيف
إزالة المسار البرمجي الضعيف عبر التصحيح لا يكشف أو يزيل المهاجمين الذين قد يكونوا قد استغلوا الثغرة CVE-2026-41089 قبل تطبيق التصحيح. يحذر المركز البلجيكي للأمن السيبراني صراحةً من أن التصحيح يحمي من الاستغلال المستقبلي لكنه لا يعالج الاختراقات التي حدثت سابقاً .
الإجراءات الأساسية من المركز البلجيكي (CCB)
التصحيح فوراً بأولوية قصوى — طبّق تحديثات مايكروسوفت الرسمية لشهر مايو 2026 على جميع خوادم التحكم بالمجال. لا تنتظر نافذة الصيانة القادمة: هذا سيناريو استغلال نشط .
زيادة الرصد والاكتشاف — ارفع مستوى الرصد لأي نشاط مريب يستهدف خوادم التحكم بالمجال، وخاصة حركة مرور Netlogon غير المعتادة أو أنماط RPC و LDAP غير النمطية .
افتراض إمكانية حدوث اختراق سابق — أي خادم تحكم مجال لم يتم تصحيحه وكان معرضاً للشبكة بين 12 مايو ووقت تطبيق التصحيح، يجب أن يخضع لمراجعة جنائية (Forensic Review) بحثاً عن علامات اقتحام .
ضغط نافذة التصحيح — قم بالمرور على جميع خوادم التحكم بالمجال في أقل عدد ممكن من دورات الصيانة. غابة (Active Directory) مصححة بشكل جزئي هي غابة قابلة للاستغلال .
إعادة التحقق بعد التصحيح — أعد تشغيل فحوصات التحقق من التصحيح وتقييمات التعرض للتأكد من عدم بقاء أي خوادم تحكم مجال ضعيفة يمكن الوصول إليها .
إجراءات دفاعية إضافية من الخبراء
تقسيم خوادم التحكم بالمجال — قيّد الوصول الشبكي لخوادم التحكم بالمجال بحيث لا تصل إليها سوى حركة المرور الإدارية وحركة البنية التحتية المصرح بها بشكل صريح. احظر المنافذ المتعلقة بـ Netlogon (TCP 445، UDP 389) من الشرائح غير الموثوقة والمواجهة للإنترنت على حدود الشبكة والجدران النارية الداخلية.
تقييد حركة Netlogon على مستوى الشبكة — بخلاف جدران الحماية على المضيفين (Host Firewalls)، طبق ضوابط وصول على مستوى الشبكة لتحديد الأنظمة التي يمكنها حتى بدء الاتصالات بخوادم التحكم بالمجال عبر البروتوكولات الضعيفة.
تحصين مسارات الوصول المميزة — راجع وقلل الحسابات ذات الصلاحيات للوصول إلى خوادم التحكم بالمجال. غالباً ما يؤدي اختراق سياق SYSTEM لخادم التحكم إلى سرقة بيانات الاعتماد والتحرك الجانبي .
رصد أنشطة ما بعد الاستغلال — ابحث عن سلوك غير طبيعي للخدمات، أو إعادة تشغيل غير متوقعة لخوادم التحكم بالمجال، أو أعطال في عملية LSASS، أو إنشاء حسابات مسؤول جديدة، أو طلبات غير طبيعية لتذاكر Kerberos. قد تشير هذه إلى استغلال أو مراحل هجوم لاحقة .
اعتماد وضعية "افتراض الاختراق" الكاملة — إلى أن تكتمل المراجعة الجنائية الشاملة، تعامل مع جميع خوادم التحكم بالمجال التي لم تكن مصححة سابقاً على أنها مخترقة محتملة.
ملاحظة هامة: EPSS والإدراك
بينما تم الإبلاغ عن احتمالية EPSS (نظام تسجيل توقع الاستغلال) لهذه الثغرة بنسبة 0.09% ، فإن EPSS هو نموذج احتمالي تم تدريبه على بيانات سابقة ولا يأخذ في الاعتبار الاستغلال النشط الذي تم تأكيده بالفعل في هجمات واقعية. بمجرد إصدار هيئة وطنية للأمن السيبراني مثل CCB تحذيرًا من الاستغلال النشط، يجب على المؤسسات تحديد الأولويات بناءً على نشاط التهديد المؤكد في العالم الحقيقي وليس بناءً على التنبؤات الإحصائية وحدها.
حصلت الثغرة CVE-2026-41089 على تقييم شدة 9.8 حرج (Critical) وفق نظام CVSS 3.1، مع متجه يوضح أنها قابلة للاستغلال عبر الشبكة، منخفضة التعقيد، لا تتطلب أي صلاحيات، ولا تحتاج لأي تفاعل من المستخدم . النتيجة هي اختراق كامل لسرية النظام وسلامته وتوافره.
صنف الباحثون الأمنيون ومنصات استخبارات التهديدات هذه الثغرة على أنها "قابلة للانتشار كدودة" (Wormable) بسبب قابليتها للاستغلال قبل المصادقة ودور خوادم التحكم بالمجال المحوري في إدارة الهوية داخل بيئات ويندوز المؤسسية . وقد لخص تقييم من شركة Action1 المخاطر بقولهم: "يمكن لخادم تحكم مجال ضعيف أن يحول طلب شبكة مُصمم خصيصاً إلى طريق مباشر نحو اختراق المؤسسة" . وحذر جيسون كيكتا، مدير التكنولوجيا في Automox، من أن "وجود غابات (Active Directory) مصححة بشكل جزئي ليس حالة يمكن الدفاع عنها لثغرة في خادم التحكم بالمجال قبل المصادقة"، ونصح المسؤولين بتقييد حركة مرور Netlogon على مستوى الشبكة بالإضافة إلى التصحيح .
ظهرت أكواد إثبات مفهوم (PoC) عامة على GitHub، مما يُسرّع تاريخياً من عمليات الاستغلال الجماعي في غضون 24 إلى 72 ساعة . يجب على المؤسسات أن تفترض أن أدوات الفحص والاستغلال الآلي قيد التداول بالفعل.
إصدارات ويندوز سيرفر المتأثرة
تؤثر الثغرة على جميع إصدارات ويندوز سيرفر المدعومة التي تشغّل خدمة Netlogon ولم يتم تصحيحها بعد 12 مايو 2026 . تشير قوائم المنتجات المنشورة من عدة جهات أمنية وقاعدة بيانات NVD إلى الإصدارات الضعيفة التالية :
ويندوز سيرفر 2012 و 2012 R2 (جميع التنصيبات، بما فيها Server Core)
ويندوز سيرفر 2016
ويندوز سيرفر 2019 (بما فيها Server Core)
ويندوز سيرفر 2022 (إصدارات 21H2، و22H2، و23H2، بما فيها Server Core)
ويندوز سيرفر 2025
المشكلة موجودة في معالج بروتوكول MS-NRPC ويمكن تحفيزها عبر المنفذ TCP 445 أو المنفذ UDP 389 (منفذ محدد موقع DC)، مما يعني أن مسارات التعرض القياسية لخادم التحكم بالمجال كافية للمهاجم للوصول إلى المسار البرمجي الضعيف .
توفر التحديثات الأمنية
تحديثات مايكروسوفت الرسمية
أصدرت مايكروسوفت تحديثات للثغرة CVE-2026-41089 في 12 مايو 2026 . يجب على المؤسسات أن تطبق فوراً التحديث المناسب لبُنية ويندوز سيرفر الخاصة بها. تدرج قاعدة بيانات Rapid7 للثغرات معرّفات KB التالية للتوزيعات المدعومة :
ويندوز سيرفر 2012: KB5087470
ويندوز سيرفر 2012 R2: KB5087471
ويندوز سيرفر 2016 (1607): KB5087537
ويندوز سيرفر 2019 (1809): KB5087538
ويندوز سيرفر 2022 (21H2/22H2): KB5087545
ويندوز سيرفر 2022 (23H2): KB5087541
ويندوز سيرفر 2025 (24H2): KB5087539
صَحِّح جميع خوادم التحكم بالمجال في نافذة صيانة واحدة ومضغوطة حيثما كان ذلك ممكناً من الناحية التشغيلية، لأن الثغرة قبل المصادقة ويتم استغلالها بنشاط .
الرقعة المصغرة من 0patch للأنظمة القديمة
للمؤسسات التي تشغل تنصيبات ويندوز سيرفر خرجت من نطاق الدعم ولم تعد قادرة على تلقي تحديثات مايكروسوفت الرسمية، أصدرت شركة Acros Security رقعة مصغرة ومجانية عبر منصتها 0patch . تقدم هذه الرقعة المصغرة إصلاحًا جراحياً بسيطاً: فهي تخفض إلى النصف الحد الأقصى لحجم سلسلة اسم المستخدم التي يتحكم بها المهاجم خلال المعالجة، مما يعطّل تجاوز سعة المخزن المؤقت دون تغيير مسارات برمجية أخرى .
أكدت 0patch توفر الرقعة المصغرة لـ:
ويندوز سيرفر 2012 (بدون ESU)
ويندوز سيرفر 2012 R2 (بدون ESU)
يتم نشر الرقعة المصغرة عبر وكيل 0patch وتُطبَق في الذاكرة دون الحاجة لإعادة تشغيل النظام، مما قد يكون مفيدًا للبيئات التي يجب فيها جدولة إعادة تشغيل خوادم التحكم بالمجال بعناية. لطالما قدمت 0patch رقعًا مصغرة للثغرات الحرجة بعد نهاية الدعم لأنظمة مثل ويندوز سيرفر 2008 R2 و2012 و2012 R2 .
إرشادات عاجلة للاستجابة والتخفيف
إزالة المسار البرمجي الضعيف عبر التصحيح لا يكشف أو يزيل المهاجمين الذين قد يكونوا قد استغلوا الثغرة CVE-2026-41089 قبل تطبيق التصحيح. يحذر المركز البلجيكي للأمن السيبراني صراحةً من أن التصحيح يحمي من الاستغلال المستقبلي لكنه لا يعالج الاختراقات التي حدثت سابقاً .
الإجراءات الأساسية من المركز البلجيكي (CCB)
التصحيح فوراً بأولوية قصوى — طبّق تحديثات مايكروسوفت الرسمية لشهر مايو 2026 على جميع خوادم التحكم بالمجال. لا تنتظر نافذة الصيانة القادمة: هذا سيناريو استغلال نشط .
زيادة الرصد والاكتشاف — ارفع مستوى الرصد لأي نشاط مريب يستهدف خوادم التحكم بالمجال، وخاصة حركة مرور Netlogon غير المعتادة أو أنماط RPC و LDAP غير النمطية .
افتراض إمكانية حدوث اختراق سابق — أي خادم تحكم مجال لم يتم تصحيحه وكان معرضاً للشبكة بين 12 مايو ووقت تطبيق التصحيح، يجب أن يخضع لمراجعة جنائية (Forensic Review) بحثاً عن علامات اقتحام .
ضغط نافذة التصحيح — قم بالمرور على جميع خوادم التحكم بالمجال في أقل عدد ممكن من دورات الصيانة. غابة (Active Directory) مصححة بشكل جزئي هي غابة قابلة للاستغلال .
إعادة التحقق بعد التصحيح — أعد تشغيل فحوصات التحقق من التصحيح وتقييمات التعرض للتأكد من عدم بقاء أي خوادم تحكم مجال ضعيفة يمكن الوصول إليها .
إجراءات دفاعية إضافية من الخبراء
تقسيم خوادم التحكم بالمجال — قيّد الوصول الشبكي لخوادم التحكم بالمجال بحيث لا تصل إليها سوى حركة المرور الإدارية وحركة البنية التحتية المصرح بها بشكل صريح. احظر المنافذ المتعلقة بـ Netlogon (TCP 445، UDP 389) من الشرائح غير الموثوقة والمواجهة للإنترنت على حدود الشبكة والجدران النارية الداخلية.
تقييد حركة Netlogon على مستوى الشبكة — بخلاف جدران الحماية على المضيفين (Host Firewalls)، طبق ضوابط وصول على مستوى الشبكة لتحديد الأنظمة التي يمكنها حتى بدء الاتصالات بخوادم التحكم بالمجال عبر البروتوكولات الضعيفة.
تحصين مسارات الوصول المميزة — راجع وقلل الحسابات ذات الصلاحيات للوصول إلى خوادم التحكم بالمجال. غالباً ما يؤدي اختراق سياق SYSTEM لخادم التحكم إلى سرقة بيانات الاعتماد والتحرك الجانبي .
رصد أنشطة ما بعد الاستغلال — ابحث عن سلوك غير طبيعي للخدمات، أو إعادة تشغيل غير متوقعة لخوادم التحكم بالمجال، أو أعطال في عملية LSASS، أو إنشاء حسابات مسؤول جديدة، أو طلبات غير طبيعية لتذاكر Kerberos. قد تشير هذه إلى استغلال أو مراحل هجوم لاحقة .
اعتماد وضعية "افتراض الاختراق" الكاملة — إلى أن تكتمل المراجعة الجنائية الشاملة، تعامل مع جميع خوادم التحكم بالمجال التي لم تكن مصححة سابقاً على أنها مخترقة محتملة.
ملاحظة هامة: EPSS والإدراك
بينما تم الإبلاغ عن احتمالية EPSS (نظام تسجيل توقع الاستغلال) لهذه الثغرة بنسبة 0.09% ، فإن EPSS هو نموذج احتمالي تم تدريبه على بيانات سابقة ولا يأخذ في الاعتبار الاستغلال النشط الذي تم تأكيده بالفعل في هجمات واقعية. بمجرد إصدار هيئة وطنية للأمن السيبراني مثل CCB تحذيرًا من الاستغلال النشط، يجب على المؤسسات تحديد الأولويات بناءً على نشاط التهديد المؤكد في العالم الحقيقي وليس بناءً على التنبؤات الإحصائية وحدها.
