ثغرة ShieldBreak في Microsoft Defender: ما تأكد وما لم يُرقّع وكيف تتصرف

الخلاصة السريعة

تُعد ShieldBreak ثغرة تصعيد صلاحيات في Microsoft Malware Protection Engine، وهو محرك الفحص الذي يعتمد عليه Microsoft Defender. تتتبعها Microsoft بالرمز CVE-2026-69414، وقد منحتها درجة 7.8 من 10 وفق معيار CVSS، أي تصنيف «مرتفع». وتقول Microsoft إنها تعمل على تحديث أمني لمعالجتها، لكن لم يُسجّل في المصادر المتاحة صدور إصلاح مخصص حتى 19 أغسطس 2026.

الخطر حقيقي، لكنه ليس استيلاءً عن بُعد بحد ذاته. يحتاج المهاجم عادةً إلى وصول محلي أو قدرة مسبقة على تشغيل تعليمات برمجية بحساب محلي ذي صلاحيات منخفضة، ثم يستغل الثغرة للارتقاء إلى سياق

NT AUTHORITY\\SYSTEM

كيف تتجاوز ShieldBreak إصلاح RoguePlanet؟

كانت RoguePlanet ثغرة أخرى في محرك Defender لتصعيد الصلاحيات، وارتبطت بالتعامل غير السليم مع الروابط قبل الوصول إلى الملفات، وصُنّفت ضمن CWE-59. أصدرت Microsoft إصلاحًا لها في يوليو، وكان الإصدار 1.1.26060.3008 من محرك Malware Protection Engine هو خط الأساس المصحح المُبلغ عنه.

تكمن أهمية ShieldBreak في أن التقارير العلنية تصف مسار استغلال مختلفًا يُقال إنه يتجاوز معالجة RoguePlanet، بدلًا من إعادة استخدام الاستغلال الأصلي حرفيًا. والنتيجة المبلغ عنها متشابهة: تمكين مستخدم محلي منخفض الصلاحيات من الوصول إلى

NT AUTHORITY\\SYSTEM

وهنا تكمن نقطة عملية مهمة لمسؤولي الأنظمة: التأكد من تثبيت تحديث RoguePlanet لشهر يوليو لا يعني تلقائيًا إغلاق ShieldBreak، لأن المشكلة الجديدة منفصلة. نُشر إثبات المفهوم علنًا في 12 أغسطس، بينما ظل سجل CVE يشير إلى أن Microsoft تعمل على تحديث أمني.

ما إصدارات Windows التي يُقال إنها متأثرة؟

تركز أقوى الادعاءات العلنية على:

• Windows 11 25H2؛
• إصدارات Windows 11 من قنوات Canary أو Insider؛
• Windows Server 2025.

قال الباحث الذي نشر إثبات المفهوم إن معدل النجاح بلغ 100% في بيئات الاختبار هذه. كما أفادت تقارير مستقلة بإعادة إنتاج الاستغلال على نظام Windows 11 محدّث بالكامل، لكن الأدلة المتاحة لا تمثل مصفوفة توافق اعتمدتها Microsoft، ولا تثبت معدل نجاح موحدًا على جميع الإصدارات والبُنى.

وتشير تقارير أخرى إلى احتمال تأثر Windows 10 وإصدارات الخوادم المرتبطة به، رغم أن إثبات المفهوم المنشور لم يكن مدعومًا بالكامل على تلك الأنظمة. لذلك ينبغي التعامل مع هذه النقطة بوصفها تقييمًا منشورًا للثغرة، لا تأكيدًا بأن كل إصدار من Windows 10 أو Windows Server قابل للاستغلال.

يؤكد وصف Microsoft العام في سجل CVE أن منطقة المنتج المتأثرة هي Malware Protection Engine داخل Defender، لكنه لا يقدم، وفق المواد المتاحة، قائمة تفصيلية كاملة بكل إصدار وبنية متأثرة.

هل استُخدمت ShieldBreak في هجمات فعلية؟

لا تتضمن المصادر المقدمة دليلًا موثقًا على استخدام ShieldBreak في هجمات واقعية حتى الآن. وجود إثبات مفهوم علني يرفع احتمال تحليل التقنية من جانب الباحثين والمهاجمين، لكنه لا يبرر وصفها بأنها مستغلة «في البرية» من دون بيانات رصد، أو تقرير استجابة لحادث، أو بيان رسمي من جهة استخبارات تهديدات.

وبما أن الاستغلال يتطلب وصولًا محليًا أو موطئ قدم محليًا بحساب مصادق عليه، فإن تقليل فرص الوصول إلى هذه المرحلة يظل أولوية. ويشمل ذلك الحد من تشغيل تعليمات برمجية غير موثوقة، وتقليص صلاحيات المديرين، وتقييد مسارات الإدارة عن بُعد، وحماية بيانات اعتماد الحسابات المحلية.

ماذا حدث لفحوص Defender؟

بالتوازي مع قصة ShieldBreak، ظهرت مشكلة تشغيلية منفصلة بعد تحديثات حديثة لمحرك Defender وبيانات معلومات الحماية. فقد أبلغ مستخدمون عن فشل الفحص السريع والكامل قرب نهايته، وتوقف Offline Scan عند 91%، إضافة إلى تعطل العملية MsMpEng.exe مع الإشارة إلى الملف mpengine.dll. كما ظهرت تقارير عن رمز الخطأ 0x000005.

وكانت إصدارات المحرك الأكثر ورودًا في هذه التقارير:

• 1.1.26070.7؛
• 1.1.26080.2.

وسجل تعطل منشور في Microsoft Q&A أشار إلى إصدار منصة Defender 4.18.26070.9، ومحرك Malware Protection Engine بالإصدار 1.1.26070.7، مع وجود عطل في mpengine.dll. ويعرض السجل رمز استثناء c0000005، وهو مختلف عن خطأ 0x000005 الذي ورد في تغطيات أخرى.

كما ربط أحد التقارير الإصدارات 1.457.222.0 و1.457.225.0 و1.457.226.0 و1.457.227.0 و1.457.230.0 من تحديثات Security Intelligence بالإصدارات المتأثرة من المحرك. وذكر التقرير نفسه أن التحديث إلى 1.457.236.0 حل التعطل لدى بعض المستخدمين، لكن يجب التحقق من هذه النتيجة مقابل معلومات Microsoft الحالية قبل اعتبارها حلًا عامًا.

هل تسببت استجابة ShieldBreak في أعطال الفحص؟

تدعم الأدلة المتاحة وجود ارتباط زمني وتقني، لا علاقة سببية مؤكدة. فقد ظهرت الأعطال بعد تحديثات مرتبطة بـDefender، وأبلغ مستخدمون متعددون عن سلوك متشابه، كما تشير سجلات التعطل إلى محرك مكافحة البرمجيات الخبيثة. لكن المصادر المقدمة لا تتضمن بيانًا من Microsoft يؤكد أن التحديثات كانت إجراءات سريعة لمعالجة ShieldBreak أو أنها تسببت في هذا الخلل.

وعليه، فإن القول إن Microsoft «عطّلت Defender أثناء إصلاح ShieldBreak» يظل تفسيرًا ممكنًا لكنه غير مثبت. من المنطقي متابعة التطورين معًا لأنهما يتعلقان بمنطقة المحرك نفسها، لكن لا ينبغي تقديمهما كحادثة واحدة مؤكدة قبل صدور تأكيد من Microsoft أو تحليل تقني مستقل يثبت الصلة.

هل ينبغي لمسؤولي الأنظمة التراجع عن تحديثات Defender؟

أفادت بعض التقارير بأن التراجع عن تعريفات Defender أعاد وظائف الفحص في حالات متأثرة. وقد يكون ذلك مفيدًا كخيار تشخيصي مضبوط، لكنه ليس حلًا عامًا خاليًا من المخاطر؛ إذ قد يؤدي التراجع إلى إزالة اكتشافات أحدث، وربما إلى حذف إجراء تخفيف مؤقت وزعته Microsoft عبر تحديثات المحرك أو معلومات الحماية.

والنهج الأكثر تحفظًا هو:

1. إبقاء تحديثات منصة Defender ومحركه ومعلومات الحماية وWindows محدثة، ما لم تستدعِ الاستجابة لحادث محدد قرارًا مضبوطًا بخلاف ذلك.
2. التحقق من حالة الحماية وإصدارات المحرك والمنصة وSecurity Intelligence على كل جهاز.
3. اختبار أي تراجع على أنظمة معزولة أولًا، مع توثيق ضوابط تعويضية واضحة.
4. إضافة ماسح مستقل عند الطلب أو مسار فحص قائم على حلول EDR إذا تعذرت فحوص Defender.
5. إعادة تطبيق أحدث تحديثات الحماية فور توفر إصدار متوافق وموثوق.

إجراءات التخفيف في غياب تصحيح ShieldBreak

تقليل شرط الوصول المحلي

استخدموا حسابات المستخدم العادي حيثما أمكن، وأزيلوا صلاحيات المدير المحلي غير الضرورية، وقيّدوا RDP وأدوات الإدارة عن بُعد، وتجنبوا بيانات اعتماد الإدارة المشتركة. ويمكن لقوائم السماح بالتطبيقات، وضوابط تشغيل السكربتات، ومراقبة الأجهزة الطرفية أن تقلل احتمال وصول مهاجم إلى محرك Defender من خلال موطئ قدم محلي أولي.

إبقاء Tamper Protection مفعلة

تساعد Tamper Protection في منع التغييرات غير المصرح بها على إعدادات Defender. لكنها إجراء دفاعي إضافي لا يصلح مسار المحرك المعرض للثغرة، ولا ينبغي اعتباره تصحيحًا لـShieldBreak.

استخدام قواعد Attack Surface Reduction كطبقة دفاع إضافية

يمكن لقواعد Attack Surface Reduction الحد من سلوكيات شائعة في التنفيذ والوصول الأولي، مثل إساءة استخدام السكربتات، وإنشاء العمليات المشبوهة، وسلوكيات سرقة بيانات الاعتماد، وتشغيل عمليات فرعية من تطبيقات Office. لكنها لا تعالج مباشرة تصعيد الصلاحيات المحلي داخل محرك Defender إذا كان المهاجم قادرًا أصلًا على تشغيل إثبات المفهوم؛ لذلك ينبغي أن تكمل ضوابط الوصول والتحديث، لا أن تحل محلها.

مراقبة التصعيد وأعطال المحرك

ينبغي لفرق الأمن مراقبة العمليات غير المتوقعة التي تعمل بسياق SYSTEM بعد انطلاقها من حسابات منخفضة الصلاحيات، والتلاعب المشبوه بالروابط أو نقاط إعادة التحليل، وأعطال خدمة Defender غير المعتادة، وتكرار تعطل MsMpEng.exe أو mpengine.dll. ولا تُثبت هذه المؤشرات وحدها استغلال ShieldBreak، لكنها تساعد في تحديد الأجهزة التي تستحق التحقيق.

التعامل بحذر مع حلول الحماية الخارجية

إذا أصبحت فحوص Defender غير صالحة للاستخدام تشغيليًا، فقد يقلل ماسح تعويضي موثوق أو منتج حماية طرفي خارجي من التعرض لمسار المحرك المحدد. لكن الانتقال نفسه قد يسبب فجوات في الإعداد، أو تعارضًا بين منتجات الحماية، أو مخاطر أثناء الترحيل. لذلك ينبغي تجربة الحل على نطاق محدود، والتحقق من الحماية في الوقت الفعلي ومن عمل القياس عن بُعد، والحفاظ على التغطية الأمنية طوال فترة الانتقال.

الخلاصة

أفضل توصيف لـShieldBreak هو أنها ثغرة مرتفعة الخطورة وقابلة للاستغلال محليًا في محرك Defender، مع إثبات مفهوم علني وعدم وجود تصحيح مؤكد من Microsoft في التقارير المتاحة حتى 19 أغسطس 2026. ويُعد ادعاء نجاحها بنسبة 100% على Windows 11 25H2 وإصدارات Canary وWindows Server 2025 مقلقًا، لكنه يظل ادعاءً بحثيًا، رغم ورود تقارير عن إعادة إنتاج مستقلة على نظام Windows 11 محدّث بالكامل.

أما أعطال الفحص، فهي مشكلة تشغيلية منفصلة لم تُحسم بعد. توقيتها، وتكرار بلاغات المستخدمين، وسجلات تعطل المحرك تبرر التحقيق، لكنها لا تثبت أن استجابة Microsoft لـShieldBreak تسببت فيها. وفي الوقت الحالي، يتمثل النهج الأقل مخاطرة في الحفاظ على تحديثات الحماية الحالية، وتقييد التشغيل والإدارة المحليين، ومراقبة صحة Defender، وإضافة مسار فحص تعويضي مُختبر عند الحاجة، ثم نشر إصلاح Microsoft للثغرة CVE-2026-69414 فور التحقق من توافقه.