قصة الباحث الغاضب الذي هزّ عرش مايكروسوفت بـ 6 ثغرات يوم الصفر في ستة أسابيع

ملخص الثغرات وحالة التصحيح

بحلول أواخر مايو 2026، تم تصحيح ثلاث من الثغرات الست. بقيت ثلاث ثغرات بدون حل، وتُشكل MiniPlasma الخطر العملياتي الأكثر إلحاحاً.

تُعتبر MiniPlasma خطيرة بشكل خاص لأنها تسمح لمستخدم عادي بالحصول على صلاحيات على مستوى النظام (SYSTEM) على جهاز تم تطبيق جميع تحديثات مايو 2026 عليه . إنها تستغل مُشغّل "ملفات السحابة" cldflt.sys نفسه الذي استهدفته BlueHammer، وذلك بإعادة تفعيل ثغرة سابقة تمت معالجتها في عام 2020 ويدّعي الباحث أن مايكروسوفت لم تقم بتصحيحها بالكامل .

دوافع الباحث: احتجاج ضد مركز الاستجابة الأمنية (MSRC)

وصف الباحث صراحةً عمليات الكشف هذه بأنها انتقام لسوء المعاملة من قبل مركز MSRC. تشير التصريحات العامة والتقارير إلى أن الإرساليات الخاصة السابقة قوبلت بالتجاهل أو البطء أو بمطالب وجدها الباحث مُفرطة - ويُقال إنها تضمنت طلباً بتقديم عرض فيديو لتوضيح كيفية عمل الثغرة . هناك ادعاء متكرر يُنسب للباحث يقول إن مركز MSRC هدد "بتدمير حياتي وقد فعلوا ذلك" .

توقيت الإصدارات الأخيرة - التي نُشرت بعد يوم من "الثلاثاء المُرقّع" - صُمم بوضوح لزيادة التعرض والضغط إلى أقصى حد. فقد نُشرت YellowKey و GreenPlasma في 12 مايو، مباشرة بعد دورة تحديثات مايو من مايكروسوفت، وتلتها MiniPlasma في 17 مايو .

استجابة مايكروسوفت والتهديد القانوني

في 27 مايو، نشرت مايكروسوفت تدوينة بعنوان "مسؤولية مشتركة: حماية العملاء من خلال الكشف المنسق عن الثغرات" . التدوينة:

• وصفت جميع الثغرات الست بأنها "لم يتم الكشف عنها بمسؤولية" .
• حثّت مجتمع الأمن على اتباع ممارسات الكشف المنسق عن الثغرات (CVD).
• تضمنت تهديداً مبطناً من وحدة الجرائم الرقمية التابعة لمايكروسوفت، مُحذرةً من أن الكشف العلني المُسلح قد يحمل عواقب قانونية .

صعّدت لغة مايكروسوفت النزاع، لكنها لم تحل المشكلة الأساسية: بقيت ثلاث ثغرات يوم صفر بدون تصحيح. المنصات التي استضافت الكود - GitHub حوالي 23 مايو و GitLab بعد بضعة أيام - اتخذت إجراءات تنفيذية بإنهاء حسابات الباحث .

استغلال نشط وإنذارات مؤسسية

بحلول منتصف أبريل، كانت جميع ثغرات Defender الأولية الثلاث قيد الاستغلال النشط. حددت شركتا Huntress و Barracuda جهات تهديد تسحب أكواد إثبات المفهوم (PoC) مباشرة من مستودعات GitHub العامة وتستخدم بنية تحتية مرتبطة بمواقع جغرافية روسية .

كان رد فعل وكالة CISA سريعاً. أُضيفت BlueHammer إلى كتالوج KEV في 22 أبريل مع موعد نهائي للترقيع بحلول 6 مايو للوكالات الفيدرالية . تبعتها RedSun و UnDefend لاحقاً، مع موعد نهائي في 3 يونيو . تعكس هذه الإضافات قلقاً عميقاً: عندما تصبح أدوات الأمان نفسها هي ناقل الهجوم، تنهار نماذج الدفاع التقليدية.

رد فعل المجتمع: عملية كشف معطلة

رد مجتمع الأمن السيبراني كان بحكم منقسم.

انتقادات للباحث جاءت من Barracuda و ThreatLocker و LevelBlue، التي وصفت الحملة بأنها خطيرة وتأتي بنتائج عكسية . إن إسقاط ثغرات مُسلحة علناً عرض مستخدمي المؤسسات لخطر فوري في وقت لم يكن هناك تصحيح متاح.

انتقادات لمايكروسوفت كانت حادة بنفس القدر. لاحظ العديد من الباحثين أن الملحمة بأكملها كان من الممكن تجنبها لو كانت عملية مركز MSRC أكثر احتراماً واستجابة. أعادت عمليات الكشف هذه إحياء مظالم قديمة العهد: فرز بطيء للبلاغات، وتواصل غامض، وموقف عدائي تجاه المُبلّغين الذين لا يتناسبون مع قالب مكافآت الشركات .

أحد الديناميكيات اللافتة للنظر: هددت مايكروسوفت بإجراء قانوني بينما بقيت ثلاث ثغرات بدون تصحيح - وهي خطوة وصفها المُعلقون بأنها استعراضية وفي غير محلها .

ما الذي سيحدث لاحقاً

صمت الباحث لكنه لم يصمت تماماً. بعد أن فقد الوصول إلى المنصات، انتقل إلى مدونة شخصية وهدد صراحةً بإصدار كم هائل آخر في 14 يوليو - وهو موعد "الثلاثاء المُرقّع" القادم . ما إذا كان هذا التهديد ذا مصداقية يبقى غير معروف، لكن النمط أصبح واضحاً.

بالنسبة لفرق الأمن، الأولوية العاجلة واضحة: تطبيق تصحيحات Defender الطارئة خارج الجدول، وتنفيذ إجراءات التخفيف الخاصة بـ YellowKey (إزالة قيمة autofstx.exe من مسار BootExecute في سجل النظام وتمكين خيار TPM+PIN لـ BitLocker) ، والتعامل مع MiniPlasma على أنها تهديد حي بدون معالجة رسمية. يجب مراقبة أي إصدارات إضافية لأكواد إثبات المفهوم يتم توقيتها مع "الثلاثاءات المُرقّعة" المستقبلية، وإعداد ضوابط تعويضية لمكونات Defender التي يستهدفها المهاجمون الآن بشكل منهجي.

حلقة Nightmare-Eclipse لا تتعلق فقط بست ثغرات. إنها اختبار إجهاد للعلاقة بين مزودي المنصات والباحثين الذين يعتمدون عليهم. عندما تنهار هذه العلاقة، تكون العواقب علنية، وقابلة للاستغلال، وشديدة.