ثغرة ShieldBreak في ويندوز: ما هي، كيف تعمل، ولماذا تواجه مايكروسوفت رد فعل عنيفًا من مجتمع الأمن

في 12 أغسطس 2026، وبعد ساعات من إصدار مايكروسوفت لتحديثاتها الأمنية الشهرية 'Patch Tuesday'، نشر باحث أمني يُعرف باسم 'Nightmare Eclipse' استغلالاً (PoC) لثغرة جديدة أطلق عليها اسم ShieldBreak. هذه الثغرة هي من نوع 'رفع الصلاحيات المحلية' (Local Privilege Escalation) في برنامج مايكروسوفت ديفيندر، وتسمح للمهاجم الذي لديه بالفعل صلاحيات منخفضة على جهاز يعمل بنظام ويندوز برفعها إلى صلاحيات SYSTEM الكاملة (أعلى مستوى وصول في النظام). الاستغلال يعمل على أنظمة تعتبرها مايكروسوفت 'مصححة بالكامل'، ولم تصدر الشركة أي تصحيح له حتى الآن .

ShieldBreak ليست مجرد ثغرة منفردة. إنها تمثل أحدث فصول المواجهة المتصاعدة بين مايكروسوفت ومجتمع أمني يشعر أن تقاريره عن الثغرات الأمنية يتم تجاهلها أو رفضها أو مواجهتها بتهديدات قانونية بدلاً من إصدار تصحيحات حقيقية .

كيف تعمل ShieldBreak: اعتراض عملية ديفيندر ذات الصلاحيات العالية

يكمن العيب في خدمة مكافحة البرامج الضارة في مايكروسوفت ديفيندر (MsMpEng)، والتي تعمل بصلاحيات NT AUTHORITY\SYSTEM، وهي أعلى مستوى وصول على أي نظام ويندوز . إليك الآلية التقنية:

• السبب الجذري: ShieldBreak هو تجاوز كامل للتصحيح الذي أصدرته مايكروسوفت في يوليو 2026 لثغرة CVE-2026-50656، والمعروفة باسم 'RoguePlanet'، والتي كشف عنها نفس الباحث . أغلقت مايكروسوفت في تصحيحها مسار استغلال واحدًا محددًا، لكنها لم تعالج الضعف المعماري الأساسي في العملية ذات الصلاحيات العالية لبرنامج ديفيندر .
• آلية الاستغلال: بدلاً من إعادة استخدام هجوم 'حالة السباق' (race condition) الخاص بـ RoguePlanet، تقوم ShieldBreak باعتراض استدعاء (callback) في وضع المستخدم داخل عملية ديفيندر. تتلاعب الثغرة بمحتويات الملف أثناء فحص 'Cloud Hydration' عبر واجهة Cloud Filter API (cfapi)، وهي ميزة يستخدمها ديفيندر لجلب الملفات من السحابة وفحصها. عن طريق تغيير الملف في اللحظة المناسبة أثناء هذا الفحص، تخدع الثغرة برنامج ديفيندر لتنفيذ كود عشوائي بصلاحيات SYSTEM .
• تتطلب إجراءً من المستخدم: هذه الثغرة ليست من نوع تنفيذ الكود عن بُعد. بل يجب أن يكون المهاجم قد حصل بالفعل على صلاحيات تنفيذ كود منخفضة على الجهاز المستهدف (على سبيل المثال، عبر برمجيات خبيثة أو سكريبت ضار). يقوم ShieldBreak بعد ذلك برفع هذه الصلاحيات إلى صلاحيات SYSTEM كاملة .
• نسبة نجاح مُبلغ عنها: يدعي الباحث أن الاستغلال حقق نسبة نجاح 100% على ويندوز 11 الإصدار 25H2 وويندوز سيرفر 2025، وقد تم التأكيد على نجاحه بشكل مستقل من قبل باحثين أمنيين معروفين مثل ويل دورمان وكيفن بومونت .

إصدارات ويندوز المتأثرة

تعمل ShieldBreak على أنظمة 'مصححة بالكامل' حتى تحديثات Patch Tuesday لشهر أغسطس 2026، مما يعني عدم وجود أي تحديث من مايكروسوفت يحجبها. الإصدارات المتأثرة تشمل :

نظام التشغيل	الحالة
ويندوز 10	متأثر (جميع الإصدارات المصححة بالكامل)
ويندوز 11	متأثر، بما في ذلك أحدث إصدار 25H2 وقناة Canary
ويندوز سيرفر 2025	متأثر

يتطلب الاستغلال أن يكون مايكروسوفت ديفيندر قيد التشغيل ونشطًا حتى ينجح .

العلاقة مع ثغرة RoguePlanet (CVE-2026-50656)

• RoguePlanet كانت ثغرة رفع صلاحيات في ديفيندر (بدرجة خطورة CVSS 7.8، والتي صنفتها مايكروسوفت بأن 'الاستغلال أكثر احتمالاً') كشف عنها الباحث Nightmare Eclipse في 9 يونيو 2026 . أصدرت مايكروسوفت تصحيحًا لها خلال تحديثات Patch Tuesday لشهر يوليو 2026 .
• ShieldBreak هي تجاوز وظيفي لهذا التصحيح. إنها لا تقدم فئة أخطاء جديدة، بل تصل إلى نفس الضعف الأساسي في محرك الحماية من البرامج الضارة لمايكروسوفت الذي كشفته RoguePlanet، ولكن عبر مسار برمجي مختلف . تقييم مجتمع الأمن هو أن تصحيح مايكروسوفت كان حلاً سطحيًا، وليس معالجة جذرية للمشكلة .

حالة 'يوم-صفر': لا يوجد تصحيح حتى الآن

• ShieldBreak هي ثغرة 'يوم-صفر' غير مصححة. لم تصدر مايكروسوفت أي تصحيح لها خلال تحديثات Patch Tuesday لشهر أغسطس 2026 .
• مايكروسوفت أقرت بوجود الثغرة وأعلنت أنها تحقق بنشاط في المشكلة، لكنها لم تلتزم بجدول زمني لإصدار التصحيح . ومن الجدير بالذكر أن مايكروسوفت لم تنكر فورًا صحة أداة الاستغلال .
• قامت العديد من شركات الأمن (مثل Tanium و Security Arsenal) بنشر إرشادات للتخفيف من المخاطر، مثل تعديل إعدادات ديفيندر وتقييد الحسابات منخفضة الصلاحيات، ولكن هذه مجرد حلول مؤقتة وليست تصحيحات .

السياق الأوسع: باحث أمني ضد مايكروسوفت

صراع طويل الأمد

لدى الباحث Nightmare Eclipse تاريخ موثق من الخلافات العامة مع مايكروسوفت حول سياسات الإبلاغ عن الثغرات الأمنية والإفصاح عنها. يدعي الباحث أن مايكروسوفت تجاهلت تقاريره أو رفضتها أو سحبتها مرارًا وتكرارًا . يعتبر ShieldBreak الإفصاح العام التاسع من الباحث عن ثغرات يوم-صفر في ويندوز، مما يجعله أحد أكثر صائدي الثغرات المستقلين غزارة .

التهديد القانوني

في أواخر يوليو 2026، أرسل الفريق القانوني لمايكروسوفت رسالة تهديد إلى الباحث Nightmare Eclipse، محذرة من اتخاذ إجراء قانوني إذا استمر في الكشف عن الثغرات علنًا خارج برنامج الإفصاح المنسق عن الثغرات (CVD) الخاص بالشركة . نشر الباحث ثغرة ShieldBreak على أي حال، متعمدًا توقيت إصدارها بعد ساعات من تحديثات Patch Tuesday لشهر أغسطس 2026 لتعظيم التأثير .

توبيخ مجتمع الأمن لمايكروسوفت

انتقد مجتمع الأمن السيبراني الأوسع بشدة الموقف القانوني لمايكروسوفت. النقاط الرئيسية تشمل :

• تأكيد مستقل: أكد الباحثان ويل دورمان وكيفن بومونت أن ShieldBreak يعمل، مما يثبت أن تصحيح مايكروسوفت كان غير كافٍ .
• انتقاد التهديدات القانونية: يُنظر إلى تهديد الباحثين المستقلين برفع دعاوى قضائية بدلاً من إصلاح الثغرات بشكل صحيح على أنه إجراء غير منتج ومدمر للثقة .
• سياسات CVD أحادية الجانب: يرى البعض أن سياسات الإفصاح لمايكروسوفت أحادية الجانب، حيث يواجه الباحثون الذين يخرجون عن الجدول الزمني أو الشكل المفضل لمايكروسوفت ترهيبًا قانونيًا، حتى عندما تكون تقاريرهم دقيقة .
• 'إلقاء اللوم على الرسول': وصفت عدة منابر نهج مايكروسوفت بأنه إلقاء اللوم على الرسول بدلاً من معالجة العيوب النظامية في البنية ذات الصلاحيات العالية لبرنامج ديفيندر .

الخلاصة الرئيسية

ShieldBreak أكثر من مجرد ثغرة أمنية واحدة. إنها أحدث نقطة اشتعال في مواجهة متزايدة بين استراتيجية مايكروسوفت القائمة على 'التصحيح والمحامي' ومجتمع أبحاث أمنية يرى بشكل متزايد أن الإفصاح العام هو السبيل الوحيد لإجبار الشركة على إصدار إصلاحات حقيقية. حتى 14 أغسطس 2026، لا يوجد تصحيح، وقد أثار الموقف القانوني لمايكروسوفت تجاه الباحث انتقادات حادة من جميع أنحاء الصناعة .