تعتبر ثغرة ShieldBreak واحدة من أبرز الثغرات الأمنية التي تم اكتشافها مؤخرًا في Microsoft Defender، حيث تتيح تجاوز التحديثات الأمنية مع إمكانية الوصول إلى نظام التشغيل.
إصدار إثبات المفهوم لثغرة ShieldBreak في Microsoft Defender
أصدر الباحث الأمني المعروف باسم Chaotic Eclipse (المعروف أيضًا باسم INFINITE NIGHTMARE وMSNightmare وNightmare-Eclipse) إثبات مفهوم (PoC) لثغرة جديدة في Microsoft تُعرف باسم ShieldBreak.
تفاصيل الثغرة
تستند الثغرة إلى Microsoft Defender لنظام Windows، وتظهر تجاوزًا للتحديث الخاص بـ CVE-2026-50656 (درجة CVSS: 7.8)، والمعروفة أيضًا باسم RoguePlanet.
وُصفت RoguePlanet بأنها حالة سباق، وإذا تم استغلالها بنجاح، يمكن أن تمنح المهاجم القدرة على إنشاء شل بامتيازات SYSTEM، مما يمكّنهم من تشغيل شفرات عشوائية أو تنفيذ إجراءات غير مصرح بها.
على الرغم من أنه تم الكشف عنها لأول مرة من قبل الباحث في يونيو 2026، لم يتم إصدار تحديث للثغرة بواسطة Microsoft حتى بعد شهر تقريبًا. وقد وصفت الشركة العملاقة هذه المشكلة بأنها تصعيد امتيازات في محرك حماية البرمجيات الضارة من Microsoft (“mpengine.dll”).
تجاوز التحديثات الأمنية
بعد فترة وجيزة، ذكر Chaotic Eclipse أن “التحديثات الدفاعية” التي قدمتها Microsoft لمعالجة CVE-2026-50656 يمكن أن تتسبب في تسرب 8 بايت من البيانات عند محاولة فتح ملف في سيناريوهات معينة على Windows 11 25H2 وWindows Server 2025. وأخبرت Microsoft The Hacker News في ذلك الوقت أنها على علم بالتقرير وتقوم بالتحقيق.
من ناحية أخرى، يتم تقييم ShieldBreak على أنه تجاوز كامل للتحديث الخاص بـ CVE-2026-50656، حيث يدعي الباحث أن “Microsoft فشلت في تصحيح ثغرة RoguePlanet بشكل صحيح.”
اختبار الثغرة
“تم اختبار PoC في أحدث إصدار من Windows 11 25h2 (+Canary channel) وWindows Server 2025، كما أن PoC لديها معدل نجاح 100%”، أضاف الباحث. “يرجى ملاحظة أن Windows 10 (وإصدارات الخادم المقابلة) غير مدعومة حاليًا، لكنها مع ذلك عرضة لـ ShieldBreak أيضًا.”
عند الاتصال للتعليق، شارك متحدث باسم Microsoft البيان التالي مع The Hacker News –
تدرك Microsoft الثغرة المبلغ عنها وتقوم حاليًا بالتحقيق في صحة هذه الادعاءات وإمكانية تطبيقها. تلتزم Microsoft بالتحقيق في مشكلات الأمان وتحديث المنتجات المتأثرة لحماية العملاء في أقرب وقت ممكن. من المهم أن ندعم الكشف المنسق عن الثغرات، وهو معيار صناعي يحمي العملاء ويدعم مجتمع البحث من خلال ضمان التحقيق في نتائجهم ومعالجتها بدقة قبل نشرها علنًا.
تحقق من صحة الثغرة
أكد الباحث الأمني Kevin Beaumont، في منشور على Mastodon، أن الاستغلال يعمل على Windows 11، مضيفًا أن الاستغلالين يعملان بشكل مختلف.
“كانت RoguePlanet ثغرة حالة سباق في نظام الملفات تستخدم الأقراص الافتراضية والتلاعب بالملفات الأصلية في NT لخداع عملية الحجر الصحي في الكتابة فوق ملفات النظام”، لاحظ Beaumont. “تستخدم ShieldBreak استدعاء رد الفعل في وضع المستخدم لتغيير محتويات الملفات أثناء مسح ترطيب Defender عبر cfapi (واجهة برمجة التطبيقات السحابية).”
كما أكد Will Dormann، المحلل الرئيسي للثغرات في Tharros، صحة ShieldBreak، مشيرًا إلى أن Defender يجب أن يكون مفعلًا لكي يعمل الاستغلال وأن “عيناي الساذجتين تفشل في رؤية التشابه” مع RoguePlanet. وشرح Dormann تسلسل الإجراءات كما يلي –
- زرع ملف EICAR
- استخدام الروابط الرمزية لمدير الكائنات للتحكم في مسار مسح Defender إلى system32.
- خلال المسح، استغلال CLFS لتبديل هوية الملف وبيانات الترطيب إلى C:Windowssystem32phoneinfo.dll (الذي لا يوجد بشكل افتراضي في Windows)
- تشغيل المهمة المجدولة QueueReporting، التي تعمل wermgr.exe -upload كـ Run with highest privileges
“في كود wer.dll، يوجد كود صريح لتحميل phoneinfo.dll”، قال الباحث. “لأنه في هذه المرحلة، يوجد phoneinfo.dll وهو كودنا الخاص، يتم تشغيله، مما يؤدي إلى إنشاء conhost.exe بامتيازات SYSTEM. لا أذكر أن RoguePlanet فعل أي شيء مع مقدمي الخدمات السحابية، CLFS، الترطيب، أي شيء، phoneinfo.dll، وعلى عكس RoguePlanet، يبدو أن ShieldBreak يتطلب أن يكون Defender نشطًا للعمل.”
تحديثات الأمان من Microsoft
تأتي هذه التطورات في الوقت الذي أصدرت فيه الشركة المصنعة لنظام Windows تحديثات لـ 421 ثغرة أمنية، بما في ذلك 236 ثغرة في Windows. يتضمن أحد التحديثات CVE-2026-62832 (درجة CVSS: 7.8)، وهي ثغرة تصعيد امتيازات في خدمة ملفات تعريف المستخدمين في Windows التي تم الكشف عنها بواسطة Chaotic Eclipse الشهر الماضي تحت اسم LegacyHive.
“تسمح معالجة الروابط غير الصحيحة قبل الوصول إلى الملفات (‘متابعة الروابط’) في خدمة ملفات تعريف المستخدمين في Windows لمهاجم مصرح له بزيادة الامتيازات محليًا”، قالت Microsoft.
“يمكن لمهاجم مصرح له لديه بيانات اعتماد لحساب محلي آخر تشغيل تطبيق مصمم خصيصًا لتحميل خلية سجل مستخدم آخر. يمكن أن يسمح الاستغلال الناجح للمهاجم بالوصول إلى بيانات مستخدم آخر أو تعديلها والحصول على امتيازات المسؤول. لا يتطلب الأمر تفاعل المستخدم.”
كما قامت Microsoft بإصلاح ثغرة صفراء نشطة في برنامج تشغيل الوظائف الإضافية لويندوز Ancillary Function Driver for WinSock (CVE-2026-68820، درجة CVSS: 7.0) التي تمنح امتيازات SYSTEM وثغرة التلاعب في برنامج تشغيل تصفية عزل حاويات Windows (unionfs.sys) المعلن عنها علنًا (CVE-2026-72971، درجة CVSS: 5.5).
أضافت وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) منذ ذلك الحين CVE-2026-68820 إلى كتالوج الثغرات المعروفة المستغلة (KEV)، مما يتطلب من الوكالات الفيدرالية تطبيق الإصلاحات بحلول 25 أغسطس 2026.
(تم تحديث القصة بعد النشر في 13 أغسطس 2026 لتضمين رد من Microsoft ورؤى إضافية تتعلق بالثغرة.)
تتطلب هذه الثغرة انتباهاً خاصاً من المستخدمين والشركات على حد سواء لضمان أمان أنظمتهم. تابعونا لمزيد من التحديثات حول هذا الموضوع.
