تحديثات أغسطس 2026 من مايكروسوفت: إصلاح 400 ثغرة مع استغلال نشط لثغرة WinSock وثغرة جديدة تتجاوز التحديثات

أصدرت مايكروسوفت تحديثاتها الشهرية لشهر أغسطس 2026 (Patch Tuesday) في 11 أغسطس، لتعالج عددًا هائلًا من الثغرات الأمنية — تتراوح التقديرات من شركات الأمن الكبرى بين 398 و421 ثغرة (CVE)، مع إجماع واسع على "ما يقرب من 400" ثغرة إجمالاً . تضمن الإصدار ثغرة يوم-صفر واحدة تم استغلالها بنشاط، وثغرتين يوم-صفر تم الكشف عنهما علنًا، وحوالي 62 ثغرة ذات تصنيف خطير . وخلال ساعات من إصدار التصحيحات، نشر الباحث المعروف باسم Nightmare Eclipse أداة اختراق جديدة، أطلق عليها اسم ShieldBreak، مدعيًا تجاوز تصحيح مايكروسوفت الصادر في الشهر السابق .

حجم تحديثات أغسطس 2026

أصلحت مايكروسوفت ما بين 398 و421 ثغرة عبر Windows وOffice وAzure وExchange وSharePoint ومنتجات أخرى . تختلف أعداد الثغرات حسب المصدر:

• SANS ISC: 418 ثغرة، 62 منها خطيرة
• Tenable: 398 ثغرة، 42 منها خطيرة
• CrowdStrike: 415 ثغرة، 62 منها خطيرة
• Splashtop: 421 ثغرة
• BleepingComputer: ~400 ثغرة، منها 3 ثغرات يوم-صفر

تتفق جميع المصادر الرئيسية على أن الإجمالي "ما يقرب من 400" ثغرة .

ثغرة اليوم-الصفر المستغلة بنشاط: CVE-2026-68820

ثغرة اليوم-الصفر الوحيدة التي أكدت مايكروسوفت استغلالها في الهجمات الفعلية هي CVE-2026-68820، وهي ثغرة رفع صلاحيات في برنامج تشغيل وظائف WinSock المساعد في Windows (afd.sys) . وصفتها شركة Automox بأنها "برنامج التشغيل المسؤول عن اتصالات المقابس (sockets) في Windows على كل جهاز طرفي تقريبًا" . تسمح هذه الثغرة لمستخدم تمت المصادقة عليه محليًا بالحصول على صلاحيات على مستوى SYSTEM في الأنظمة المتأثرة .

LegacyHive (CVE-2026-62832): ثغرة تم الكشف عنها علنًا في خدمة ملفات تعريف المستخدمين في Windows

CVE-2026-62832، التي أُطلق عليها علنًا اسم "LegacyHive"، هي ثغرة رفع صلاحيات في خدمة ملفات تعريف المستخدمين في Windows (Windows User Profile Service) ناتجة عن معالجة غير صحيحة لروابط الملفات قبل الوصول إليها (CWE-59) . صنفتها مايكروسوفت على أنها هامة بدرجة CVSS تبلغ 7.8، وقيمت احتمالية استغلالها بأنها "أكثر ترجيحًا" .

كيف تعمل LegacyHive

يمكن للمهاجم الذي تمت المصادقة عليه ولديه بيانات اعتماد لحساب محلي ثانٍ تشغيل تطبيق مصمم خصيصًا لتحميل سجل (registry hive) لمستخدم آخر، مما قد يؤدي إلى صلاحيات إدارية . تؤثر الثغرة على أنظمة Windows 10 وWindows 11 وWindows Server 2022/2025 قبل الإصدارات المحدثة .

ShieldBreak: الأداة التي تدّعي تجاوز تصحيح مايكروسوفت الخاص

في 12 أغسطس 2026 — أي بعد يوم من تحديثات Patch Tuesday — نشر الباحث Nightmare Eclipse (المعروف أيضًا باسم Chaotic Eclipse) أداة إثبات مفهوم للاختراق أطلق عليها اسم ShieldBreak . وفقًا للباحث، فإن ShieldBreak هو تجاوز كامل لتصحيح مايكروسوفت لشهر يوليو 2026 للثغرة CVE-2026-50656 ("RoguePlanet")، وهي ثغرة سباق (race condition) لرفع الصلاحيات في محرك الحماية من البرامج الضارة في Microsoft Defender (mpengine.dll) .

ماذا تفعل ShieldBreak

ذكر الباحث أن ShieldBreak تمنح صلاحيات NT AUTHORITY\SYSTEM على أنظمة Windows 10 وWindows 11 و Windows Server المحدثة بالكامل . تستخدم الأداة مسار هجوم مختلف عن سابقتها: فبينما استغلت RoguePlanet ثغرة سباق في نظام الملفات باستخدام أقراص افتراضية، تقوم ShieldBreak باعتراض استدعاءات وضع المستخدم (user-mode callbacks) لتغيير محتويات الملفات أثناء الفحص السحابي (cloud-hydration scan) لـ Defender عبر واجهة Cloud Filter API (cfapi) في Windows . صرح الباحث أن أداة الإثبات تحقق "نسبة نجاح 100%" على نظامي Windows 11 25H2 و Windows Server 2025 .

الوضع الحالي

أشار بعض المحللين إلى أن مايكروسوفت قد تكون قد قامت بالفعل بتصحيح ناقل التجاوز بشكل صامت . ومع ذلك، وحتى وقت نشر ShieldBreak، لم يكن هناك أي إصلاح رسمي من مايكروسوفت لسد هذا التجاوز . أكد باحثون مستقلون، بما في ذلك Howler Cell، نجاح عملية إعادة إنتاج الثغرة على جهاز يعمل بنظام Windows 11 Pro ومحدث بالكامل .

التصعيد الأوسع: Nightmare Eclipse ضد مايكروسوفت

إصدار ShieldBreak هو أحدث فصول النزاع المتصاعد بين مايكروسوفت والباحث المجهول Nightmare Eclipse.

تسع ثغرات يوم-صفر منذ أبريل 2026

منذ أبريل 2026، كشف Nightmare Eclipse علنًا عن تسع أدوات استغلال لثغرات يوم-صفر، بما في ذلك ثغرات سابقة بأسماء RedSun وUnDefend وBlueHammer وYellowKey وGreenPlasma وMiniPlasma . تم تأكيد استغلال ثلاث من هذه الثغرات — BlueHammer وRedSun وUnDefend — في هجمات فعلية وتمت إضافتها إلى كتالوج الثغرات المستغلة المعروفة (KEV) التابع لوكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) .

تهديدات مايكروسوفت القانونية ورد الفعل العنيف

في 27 مايو 2026، نشر فريق الاستجابة لأمن مايكروسوفت (MSRC) منشورًا يهدد بملاحقة جنائية ضد الباحث . كما قامت مايكروسوفت بتعطيل حسابات الباحث على GitHub (المملوكة لمايكروسوفت) وGitLab . أثارت هذه الخطوة رد فعل عنيفًا كبيرًا من مجتمع الأمن السيبراني . بحلول 1 يونيو 2026، تراجعت مايكروسوفت جزئيًا عن تهديداتها، موضحة علنًا أنه "ليس لديها أي نية لاتخاذ إجراءات ضد الأفراد الذين يقومون بإجراء أو نشر أبحاثهم الأمنية" .

استمرار النشر رغم التهديدات

واصل Nightmare Eclipse نشر أدوات استغلال الثغرات طوال فترة النزاع، حيث ظهرت أداة ShieldBreak فور إصدار تحديثات أغسطس 2026 . يدّعي الباحث أن تقارير الثغرات السابقة التي قدمها عبر القنوات الرسمية لمايكروسوفت تم تجاهلها، مما دفعه إلى الكشف العلني .

إرشادات رئيسية لمسؤولي تقنية المعلومات

1. أصلح ثغرة CVE-2026-68820 أولاً — ثغرة برنامج WinSock يتم استغلالها بنشاط في الهجمات الفعلية .
2. أعط الأولوية لثغرة CVE-2026-62832 (LegacyHive) — على الرغم من عدم استغلالها بعد، إلا أن مايكروسوفت تصنف احتمالية الاستغلال بأنها "أكثر ترجيحًا"، ويوجد كود إثبات مفهوم متاح علنًا .
3. الوضع المتعلق بـ ShieldBreak لا يزال متقلبًا — قد تكون مايكروسوفت قد قامت بتصحيح ناقل التجاوز بشكل صامت، لكن لم يتم تأكيد ذلك رسميًا أو إصدار أي إصلاح . يجب على المسؤولين مراقبة التحديثات الخاصة بمحرك الحماية من البرامج الضارة في Microsoft Defender.
4. حملة Nightmare Eclipse مستمرة — تم نشر تسع ثغرات يوم-صفر منذ أبريل 2026، وقد تتبعها المزيد .