Microsoft تصلح 1259 ثغرة بينها ثغرة Outlook مستغلة كشفها باحث من Anthropic مستخدماً Claude

رسالة تصل إلى بريدك في صباح عادي، فيها ملف يبدو مألوفاً، فتفتحه دون تفكير. هذه اللحظة الصغيرة هي ما تدور حوله أخطر ثغرة في تحديث Microsoft الشهري الجديد، الذي جاء هذه المرة بحجم غير معتاد: 1,259 ثغرة أُصلحت دفعة واحدة، في الشهر الثاني على التوالي الذي يتجاوز فيه العدد 1,000 ثغرة، بحسب تقرير The Hacker News.

توزعت الإصلاحات على مجموعة واسعة من برامج Microsoft، منها 726 ثغرة في Windows و174 في Office و59 في SQL Server و27 في SharePoint Server، إضافة إلى 165 معرّف ثغرة صادرة عن جهات غير Microsoft. وتتعلق أكثر من 500 ثغرة برفع الصلاحيات، تليها ثغرات تنفيذ التعليمات البرمجية عن بعد وكشف المعلومات.

وبحسب Satnam Narang، كبير مهندسي الأبحاث في Tenable، عالجت Microsoft مع هذه الدفعة أكثر من 5,100 ثغرة خلال هذا العام وحده.

صنّفت Microsoft ثغرة في Outlook تحمل الرمز CVE-2026-124194 بأنها متوسطة الخطورة بدرجة 6.5، لكنها أكدت أنها مستغلة فعلاً. يستطيع مهاجم غير مصادق عليه إرسال ملف رسالة معدّ خصيصاً وإقناع الضحية بفتحه في نسخة متأثرة من Outlook، فيتصل البرنامج بموقع على الشبكة يسيطر عليه المهاجم دون عرض تحذير المحتوى الخارجي المعتاد.

والنتيجة المحتملة كشف بيانات مصادقة مثل NTLMv2 hash يمكن استخدامها لانتحال شخصية المستخدم. وأوضحت Microsoft أن نجاح الاستغلال يتطلب اتصالاً بالشبكة وتفاعلاً من المستخدم.

نسبت Microsoft اكتشاف الثغرة والإبلاغ عنها إلى باحث يُدعى Nono وإلى Benoît Sevens من Anthropic، الذي استخدم Claude. ولم توضح الشركة في نشرتها ما إذا كان الاكتشاف قد حدث قبل أن يبدأ المهاجمون استغلالها أم بعده، كما لم تنسب النشاط إلى جهة تهديد بعينها.

هكذا علّق Jack Bicer، مدير أبحاث الثغرات في Action1، معتبراً أن التصنيف المتوسط لا يعكس حجم الخطر الحقيقي.

أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية CISA الثغرة إلى قائمة الثغرات المعروفة المستغلة، وألزمت الجهات الفيدرالية بتطبيق الإصلاح بحلول 24 نوفمبر 2026.

ويشمل التحديث أيضاً ثغرات لتنفيذ التعليمات عن بعد في Windows Search وبروتوكول LDAP وWindows Schannel وغيرها، إلى جانب ثغرة رفع صلاحيات في Azure OpenAI.

يرى Jake Knott، رئيس استخبارات التهديدات في watchTowr، أن الفرق الأمنية بدأت تشعر بالإرهاق من تتابع الثغرات الحرجة، وينصح بترتيب الأولويات بهدوء:

في النهاية، يكشف هذا التحديث مفارقة لافتة: الذكاء الاصطناعي الذي يخشى كثيرون أن يصبح أداة في يد المهاجمين، كان هنا جزءاً من فريق كشف ثغرة يستغلها المهاجمون بالفعل، بينما يبقى أبسط خط دفاع هو المستخدم نفسه، وقراره بعدم فتح ملف لا يعرف مصدره.