הנסיגה של מיקרוסופט: איך לחץ קהילתי הכריח את הענקית לוותר על איומים משפטיים נגד חוקר אבטחה

שלוש מתוך שש הפגיעויות אושרו במהרה כמנוצלות באופן פעיל בשטח: BlueHammer (CVE-2026-33825), RedSun (CVE-2026-41091) ו-UnDefend (CVE-2026-45498) . הסוכנות האמריקאית לאבטחת סייבר (CISA), המקבילה למערך הסייבר הלאומי, הוסיפה אותן לקטלוג הפגיעויות המנוצלות הידועות שלה, וחייבה סוכנויות ממשלתיות להתקין תיקוני חירום . מיקרוסופט תיקנה את BlueHammer במסגרת מחזור התיקונים של אפריל, ושחררה תיקוני חירום מחוץ למחזור (out-of-band) עבור RedSun ו-UnDefend ב-21 במאי, בעקבות דיווחים על תקיפות פעילות . שלוש הפגיעויות הנותרות — YellowKey (מעקף BitLocker, CVE-2026-45585), GreenPlasma, ו-MiniPlasma — נותרו ללא תיקון נכון לתחילת יוני .

החוקר טען לקיומה של היסטוריה של תלונות מול מיקרוסופט. 'Nightmare Eclipse' טען שדיווחים קודמים שהגיש דרך הערוצים הרשמיים זכו להתעלמות או לטיפול לקוי, וכי תשלומי "באג באונטי" — תוכניות תגמול לחוקרים — בסכומים שלטענתו הגיעו עד 250,000 דולר עבור ניצול במוצרי Hyper-V, לא שולמו . מיקרוסופט, בתגובה, טענה שהחוקר לא דיווח על הפגיעויות דרך הערוצים הרשמיים בטרם פרסומן .

ההסלמה של מיקרוסופט: מאיומים לניתוק פלטפורמות

המצב הסלים באופן דרמטי בשבוע האחרון של מאי. בסביבות ה-23 במאי, חשבון ה-GitHub של 'Nightmare Eclipse' הושעה. החוקר הורחק גם מ-GitLab ב-26-27 במאי לערך . כשהוא פועל אך ורק מבלוג אישי, החוקר איים במה שכינה "שחרור שובר עצמות" של ניצולים נוספים, שתוכנן ל-14 ביולי 2026 — הלא הוא "יום שלישי של התיקונים" הבא .

ב-27 במאי, חטיבת ה-MSRS של מיקרוסופט פרסמה פוסט בבלוג תחת הכותרת "אחריות משותפת: הגנה על לקוחות באמצעות חשיפת פגיעויות מתואמת" . הפוסט גינה את החשיפות הלא-מתואמות, וקבע כי "חשיפות לא מתואמות שמכניסות קוד הוכחת-יכולת לפגיעויות לא מתוקנות לידיהם של גורמים זדוניים לעולם אינן מוצדקות ויש להן השלכות בעולם האמיתי" .

פסקה מסוימת הדליקה נורת אזהרה בכל קהילת אבטחת המידע:

"יחידת הפשעים הדיגיטליים שלנו (Digital Crimes Unit) תמשיך להגיש תיקים נגד גורמים אלו ואלו המאפשרים את פעילותם הפלילית — תוך תיאום עם רשויות אכיפת חוק ברחבי העולם, לפי הצורך" .

על אף שמיקרוסופט לא הזכירה את 'Nightmare Eclipse' באופן ישיר, ההקשר של הפוסט — תגובה ישירה למסע חשיפות האפס-יום המתמשך — הוביל רבים מחוקרי האבטחה לפרש זאת כאיום משפטי ישיר ומכוון כלפי החוקר .

קהילת אבטחת הסייבר יוצאת למלחמה

התגובה לא אחרה לבוא והייתה שלילית באופן גורף. חוקרי אבטחה, פרשני תעשייה וכלי תקשורת טכנולוגיים מובילים האשימו את מיקרוסופט בטקטיקות הפחדה שעלולות להרתיע מחקר אבטחה לגיטימי .

שורה של כלי תקשורת פרסמו סיקורים ביקורתיים תוך ימים. הכותרת ב-TechCrunch זעקה: "מיקרוסופט תחת אש על איומים בחקירה פלילית נגד חוקר אבטחה" . Windows Central דיווח על הפחד האישי של החוקר בכותרת: "הם יהרסו את חיי" . אתרים כמו The Register, Security Affairs, CSO Online, ו-The Times of India ההודי, כולם סיקרו את תגובת הנגד, וציינו את ה"זעם" וה"סערה" שפרצה בקהילת אבטחת הסייבר .

נושא מרכזי בביקורת: חוקרים טענו כי העמדה המשפטית של מיקרוסופט מערערת את האמון בתהליך החשיפה המתואם עצמו. אם חוקרים יחששו מנקמה משפטית, הם עלולים להפסיק לדווח על באגים דרך ערוצים רשמיים לחלוטין . מספר פרשנים ציינו גם את האירוניה בכך שמיקרוסופט מאיימת על חוקר, בזמן ששלוש מתוך שש הפגיעויות שהוא חשף נותרו ללא תיקון .

חוקר האבטחה הנודע קווין בומונט (Kevin Beaumont) הפנה זרקור פומבי להתנהלות מיקרוסופט בפרשה, והטיל ספק במידתיות של תגובת החברה . דעת הקונצנזוס שהתגבשה הייתה שמיקרוסופט היא זו שהפעילה את ההסלמה בטיפולה הכושל בדיווחיו הראשוניים של החוקר, ואז החמירה את הבעיה באיומים משפטיים מתוקשרים .

הנסיגה ב-2 ביוני: סיבוב פרסה מביך

ב-2 ביוני 2026, מיקרוסופט הפכה את עמדתה. בהצהרה שפורסמה ברשת החברתית X (טוויטר לשעבר) ודווחה על ידי כלי תקשורת מרובים, הכריזה החברה: "כדי להיות ברורה לגבי גישתנו לעניינים משפטיים, אין לנו כוונה לנקוט צעדים נגד אנשים המבצעים או מפרסמים את מחקר האבטחה שלהם" .

ההצהרה עמדה בסתירה ישירה לשפת האיומים של "יחידת הפשעים הדיגיטליים" מהפוסט של 27 במאי. מיקרוסופט ניסתה למסגר מחדש את התקשורת המוקדמת שלה כהצהרה כללית על שיטות עבודה בחשיפה מתואמת, ולא כאיום ספציפי כלפי 'Nightmare Eclipse' .

הבלוג הטכנולוגי הגרמני BornCity תיאר את המהלך כ"נסיגה מסוימת" של מיקרוסופט לאחר "סערת הצואה" (Shitstorm) שהצית הפוסט של ה-MSRS . המגזין iTnews דיווח כי הצעד מגיע "בעקבות תגובת נגד חריפה מצד חוקרי אבטחה" .

מה באמת אומרת הנסיגה הזו

את ההצהרה מ-2 ביוני יש להבין בראש ובראשונה כאמצעי לבקרת נזקים, לא כשינוי מהותי במדיניות. מיקרוסופט לא התחייבה לשנות את ציפיותיה לגבי אופן חשיפת פגיעויות, וגם לא התייחסה לטענות החוקר בנוגע לדיווחים שטופלו לא נכון ולתגמולים שלא שולמו. החברה חזרה בה מהאיום המשפטי, אך שמרה על עמדתה שחשיפה לא מתואמת היא מעשה חסר אחריות .

התגובות בקהילת המחקר שיקפו ספקנות זו. רבים ראו ב"הבהרה" נסיגה טקטית מאולצת, שהונעה על ידי לחץ ציבורי, ולא מחויבות אמיתית להגנה על זכויות החוקרים . מצבן הלא פתור של YellowKey, GreenPlasma, ו-MiniPlasma — כולן עדיין לא תוקנו נכון לתחילת יוני — המשיך להוסיף דלק לטענה שסדרי העדיפויות של מיקרוסופט מעוותים .

הפרשה חשפה את המתחים העמוקים המושרשים בנורמות של חשיפת פגיעויות. תהליך החשיפה המתואם (CVD) מושתת על אמון: חוקרים מדווחים על באגים באופן חסוי, ויצרני תוכנה משחררים תיקונים בפרק זמן סביר. כאשר אחד הצדדים חש בהפרה של הסכם בלתי כתוב זה — בין אם דרך דיווחים שזוכים להתעלמות, תגמולים שלא משולמים או איומים משפטיים — המערכת כולה הופכת לשברירית. שלושה גורמים מרכזיים הכריחו את ידה של מיקרוסופט: הנפח והמהירות העצומים של זעם הקהילה, האיום של החוקר במטח ניצולים גדול עוד יותר ב-14 ביולי, והאופטיקה המביכה של איום בתביעה משפטית בזמן שחלק מהפרצות שהיא עצמה אחראית להן נותרו פעורות לרווחה.