باحث يتخطى تصحيح Microsoft Defender للمرة الثالثة في أربعة أشهر

نشر باحث أمني يعمل تحت اسم Nightmare Eclipse هذا الشهر ثغرة استغلال فعّالة على GitHub تتجاوز تصحيحاً أصدرته Microsoft قبل أسابيع قليلة — وهو ثالث تجاوز متتالٍ للمكوّن ذاته في Windows Defender خلال أربعة أشهر. ويُتيح إثبات المفهوم المُلقَّب بـ ShieldCrash لمهاجم قراءة ملفات عشوائية بصلاحيات SYSTEM على أجهزة Windows 10 وWindows 11 وWindows Server المُحدَّثة بالكامل والتي تُشغِّل تحديثات الأمان الصادرة في سبتمبر 2026.

لا يمنح ShieldCrash صلاحيات الكتابة، مما يُقيِّد استخدامه بوصفه هجوماً مستقلاً — غير أن قراءة الملفات بصلاحيات SYSTEM كافية لاستخراج بيانات الاعتماد والأسرار التكوينية وسائر البيانات الحساسة التي يمكن للمهاجم توظيفها لتصعيد الامتيازات أو التحرك أفقياً عبر الشبكة. والأهم من ذلك أن هذه الثغرة تُثبت أن إصلاح Microsoft للمشكلة الجوهرية جاء منقوصاً؛ إذ أفاد الباحث في إفصاحه بأن Microsoft "أصلحت عدة أشياء لمنع إعادة استغلال المشكلة" إلا أنها "أغفلت نقطة بعينها."

نمط متكرر لا خطأ معزول

يُمثّل ShieldCrash الحلقة الأخيرة في سلسلة بدأت في يونيو 2026 بثغرة RoguePlanet (CVE-2026-50656)، وهي حالة تسابق في Pipeline المسح الخاص بـ Malware Protection Engine، أصلحتها Microsoft في يوليو. وقد تجاوز مهاجمون ذلك الإصلاح لاحقاً بأسابيع عبر ثغرة ثانية هي ShieldBreak (CVE-2026-69414)، التي أصلحتها Microsoft بدورها في إصدار Patch Tuesday لشهر سبتمبر. ويُبطل ShieldCrash تصحيح سبتمبر أيضاً، مما يعني أن المكوّن الجوهري ذاته في Windows Defender أخفق في ثلاث محاولات تصحيح منفصلة خلال أربعة أشهر.

أصدر Nightmare Eclipse تسع ثغرات zero-day منذ أبريل 2026، تستهدف Microsoft Defender وBitLocker وغيرها من مكونات أمان Windows الأساسية. وقد أطّر الباحث هذه الإفصاحات باعتبارها احتجاجاً على ما يصفه بضعف التعويضات المقدَّمة ضمن برامج مكافآت اكتشاف الثغرات وبطء ممارسات الاستجابة لها لدى Microsoft. في المقابل، ردّت Microsoft بتحذيرات علنية من اتخاذ إجراءات قانونية بحق "النشاط الضار الذي يُلحق ضرراً حقيقياً"، دون أن تؤكد ما إذا كانت تعتزم ملاحقة هذا الباحث تحديداً.

لماذا يتكرر هذا الأمر

تُشير حالات التجاوز المتكررة إلى مشكلة هيكلية لا مجرد خطأ برمجي معزول: إذ تستهدف التصحيحات بشكل ضيق إغلاق مسار الاستغلال المحدد الوارد في إثبات المفهوم السابق، دون معالجة الضعف التصميمي الأشمل الذي جعل المكوّن قابلاً للاستغلال أصلاً. قد يبدو هذا النهج ناجحاً على المدى القصير — إذ يُغلق كل CVE على حدة — بينما يُبقي سطح الهجوم الجوهري مكشوفاً أمام الأشكال اللاحقة. وقد رصد باحثون أمنيون Pipeline المسح الخاص بـ Malware Protection Engine بوصفه هدفاً دائماً، تحديداً لأنه يعمل بصلاحيات مُرتفعة بحكم تصميمه، مما يجعل أي خلل فيه ذا قيمة غير متناسبة للمهاجمين مقارنةً بالثغرات الموجودة في المكونات ذات الصلاحيات الأدنى.

ما يجب على المؤسسات فعله

لا يتوفر تصحيح لـ ShieldCrash حتى تاريخ النشر. ينبغي للمؤسسات التي تستخدم Windows Defender حمايةً أساسية لنقاط النهاية أن تتعامل مع Malware Protection Engine باعتباره مكوّناً ينطوي على نمط استغلال نشط وغير محسوم، لا حداً أمنياً موثوقاً بالكامل، وأن تُولي الأولوية لتعزيز مراقبة نقاط النهاية رصداً لأي وصول شاذ إلى الملفات بصلاحيات SYSTEM، بدلاً من انتظار دورة تصحيح رابعة لسد الثغرة كلياً. ولا ينبغي للمؤسسات التي تخضع لمتطلبات امتثال تتعلق بالدفاع المتعدد الطبقات أن تعتبر النظام المُحدَّث بالكامل ضماناً كافياً ضد هذه الفئة المحددة من تجاوزات Defender، وذلك حتى تُعالج Microsoft الخلل في تصميم Pipeline لا أسلوب الاستغلال الفردي.