إصلاح Microsoft لشهر أبريل في Windows ترك ثغرة لسرقة بيانات الاعتماد بنقرة صفرية

أغلقت تحديثات الأمان من Microsoft لشهر أبريل 2026 مشكلة أكثر خطورة في Windows مما بدا من الوصف الأول. فقد عالجت الشركة الثغرة CVE-2026-32202، وهي مشكلة في Windows Shell أُشير إليها الآن بأنها مستغَلة بنشاط، وذلك بعد أن اكتشف باحثون في Akamai أن إصلاحاً سابقاً قد ترك مساراً مفتوحاً لسرقة بيانات الاعتماد بنقرة صفرية.

وتكمن أهمية هذا الأمر في أن الخلل ليس مجرد تجاوز نظري آخر. فبحسب تقرير SecurityWeek حول نتائج Akamai، يمكن لهذه المشكلة أن تُجبر جهاز الضحية على المصادقة أمام خادم يسيطر عليه المهاجم دون أي تفاعل من المستخدم. وهذا يحوّل ما بدا مشكلة أمنية مُعالجة جزئياً إلى سيناريو أكثر خطورة لتسريب بيانات الاعتماد، لا سيما في بيئات المؤسسات حيث لا تزال هجمات NTLM تمكّن المهاجمين من التحرك جانبياً داخل الشبكة.

ما الذي حدث فعلاً

تبدأ السلسلة بثغرات سدتْها Microsoft في فبراير، بما في ذلك CVE-2026-21510 و CVE-2026-21513. وكانت تلك الثغرات خطيرة بالفعل لأنه يمكن استخدامها مع ملفات اختصار وملفات HTML خبيثة لتجاوز الحماية والمساعدة في تنفيذ تعليمات برمجية عن بُعد. لكن Akamai تقول إن المعالجة السابقة من Microsoft لم تُغلق الباب بالكامل.

فبدلاً من ذلك، سدّ التصحيح المسار الرئيسي لتنفيذ التعليمات البرمجية عن بُعد بينما ترك مرحلة سابقة من العملية سليمة. فعندما يعرض Windows Explorer مجلداً يحتوي على ملف LNK خبيث، يمكنه الاتصال بخادم بعيد لجلب أيقونة عبر مسار UNC. وهذا الاتصال الشبكي كافٍ لبدء مصافحة مصادقة NTLM تلقائية. وعملياً، يمكن لجهاز الضحية تسريب بصمة Net-NTLMv2 إلى المهاجم دون أن ينقر الضحية على أي شيء.

لماذا تُشكّل زاوية "النقرة الصفرية" أهمية

غالباً ما تحظى ثغرات سرقة بيانات الاهتمام أقل من العناوين المثيرة حول تنفيذ التعليمات البرمجية عن بُعد، لكنها في العديد من حالات الاختراق الفعلية تكون بنفس الفعالية. فإذا تمكّن مهاجم من جمع بيانات NTLM من مستخدم أو محطة عمل تلقائياً، فيمكن استخدام تلك البيانات في هجمات الترحيل أو كسرها دون اتصال بالشبكة. وفي شبكة المؤسسات، قد تصبح هذه الخطوة الأولى نحو رفع الصلاحيات أو الانتقال إلى أنظمة أكثر حساسية.

وتزيد خاصية "النقرة الصفرية" من مستوى الخطر التشغيلي. فدوائر الأمن السيبراني عادةً ما تدرب المستخدمين على عدم فتح المرفقات المشبوهة أو تشغيل ملفات مجهولة. لكن هذه الإرشادات تصبح أقل فائدة عندما يكون مجرد عرض اختصار خبيث في Explorer كافياً لبدء عملية التسريب.

APT28 تُضفي بُعداً جيوسياسياً على الثغرة

ربطت Akamai سلسلة الاستغلال الأوسع بالمجموعة APT28، وهي مجموعة مرتبطة بروسيا وتُعرف أيضاً بأسماء Fancy Bear و Forest Blizzard و GruesomeLarch و Sofacy. ووفقاً للبحث الذي أوردته SecurityWeek، يُرجّح أن الحملة استهدفت جهات في أوكرانيا ودول الاتحاد الأوروبي في ديسمبر 2025. وهذا يمنح الثغرة أهمية تفوق كونها اكتشافاً مخبرياً فحسب، إذ تبدو مرتبطة بسياق تجسّس حقيقي يقوم به تهديد فاعل ذو قدرات عالية.

وتُشير نشرة Microsoft الآن إلى أن CVE-2026-32202 مستغَلة، رغم أن الشركة لم تُفصّل الهجمات علناً. وهذا النوع من التصنيف يُخبر المدافعين بشيء مهم في حد ذاته: فلا ينبغي التعامل مع التصحيح على أنه عمل روتيني مؤجّل.

ما الذي ينبغي على المدافعين فعله الآن

الخطوة الأولى واضحة. ينبغي للمؤسسات التأكد من نشر تحديثات Windows لشهر أبريل 2026 التي تغطي CVE-2026-32202 بشكل كامل. لكن هذا أيضاً تذكير بمراجعة حجم التعرّض المتبقي حول NTLM ومعالجة ملفات الاختصار وتدفقات الملفات الواردة. فالبيئات التي يمكنها تقليل استخدام NTLM أو تجزئته، وتأمين مسارات SMB، وتقييد توصيل ملفات الاختصار غير الموثوقة ستكون في وضع أفضل إذا ظهرت ثغرات مشابهة مرة أخرى.

كما ينبغي للفرق الانتباه إلى أي علامات لحركة مصادقة صادرة مشبوهة واتصالات SMB غير عادية، لا سيما تلك المرتبطة بنشاط Explorer أو مشاركات ملفات لا يُفترض أن تتصل بأنظمة خارجية. والدرس الأعمق هو أن الإصلاحات غير المكتملة يمكن أن تكون خطرة تقريباً كالثغرة الأصلية عندما يكون المهاجمون قد فهموا مسار الشفرة بالفعل.

وكما أفادت SecurityWeek أولاً، هذه واحدة من قصص Windows التي يكون فيها التصحيح نفسه نصف الخبر فقط. والنقطة الأهم هي أن حداً أمنياً مألوفاً لا يزال يتسرب، ويبدو أن مهاجمين نشطين كانوا على علم بذلك قبل كثير من المدافعين.