لقد عالجت Microsoft ما يقرب من 60 نقطة ضعف وتعرض شائعة (CVEs) تم تعيينها حديثًا في الجولة النهائية التصحيح الثلاثاء تحديث لعام مليء بالتحديات بالنسبة للمدافعين، ليصل إجمالي حجم العيوب التي تم إصلاحها هذا العام إلى أكثر من 1100.
من بين عيوب هذا الشهر، تم تصنيف ثلاثة منها على أنها حرجة من حيث خطورتها، ومن المعروف أن أحدها يتم استغلاله بشكل نشط في البرية، ومن المعروف أن اثنين آخرين لديهما أدلة عامة على المفهوم، ولكن لم يتم استغلالهما بعد.
الثغرة الأمنية المستغلة، والتي يتم تتبعها كـ CVE-2025-62221، يؤثر على برنامج تشغيل Windows Cloud Files Mini Filter. ينشأ نتيجة لذلك الاستخدام بعد شرط (UAF) المجاني حيث يشير البرنامج إلى الذاكرة بعد تحريرها، مما يؤدي إلى ظروف غير متوقعة وخطيرة في بعض الأحيان. في هذه الحالة، يمكن لممثل التهديد استخدامه لتصعيد مستويات امتيازاته على نظام الضحية.
قال مايك والترز، المؤسس المشارك والرئيس التنفيذي لشركة متخصصة في إدارة التصحيح: “على الرغم من عدم وجود إثبات مفهوم عام مؤكد لـ CVE-2025-62221، فإن الأبحاث السابقة وإثباتات المفهوم لمشكلات التصفية المصغرة للملفات السحابية ذات الصلة تشير إلى أن المهاجمين يفهمون بالفعل التقنيات الأساسية”. الإجراء1.
“يظهر التأثير الحقيقي لهذه الثغرة الأمنية عندما يربطها المهاجمون بنقاط ضعف أخرى. بعد الحصول على وصول منخفض الامتيازات من خلال التصيد الاحتيالي أو استغلال المتصفح أو تطبيق RCE، يمكنهم استخدام CVE-2025-62221 للتصعيد إلى SYSTEM والسيطرة الكاملة على المضيف.”
وحذر والترز من أنه مع انتشار Cloud Files في كل مكان إلى حد كبير، وتأكيد الاستغلال، فإن الخطر الذي يواجه المدافعين هو مدى سرعة تحول الخلل إلى جزء من سلاسل هجمات الجهات الفاعلة في التهديد. وقال إنه نظرًا لأنه لا يتطلب سوى امتيازات منخفضة للاستغلال، فإن المستخدمين ذوي الممارسات الضعيفة ذات الامتيازات الأقل، أو نقاط النهاية المشتركة بشكل كبير، قد يتجهون نحو المشاكل.
وفي الوقت نفسه، فإن الثغرات الأمنية التي تم الكشف عنها علنًا هذا الشهر هي مشكلات تتعلق بتنفيذ التعليمات البرمجية عن بُعد (RCE)، إحداهما تؤثر على PowerShell – CVE-2025-54100 – والآخر يؤثر على GitHub Copilot لـ Jetbrains – CVE-2205-64671.
تنبع ثغرة PowerShell من خلل في إدخال الأوامر موجود في كيفية معالجة Windows PowerShell لمحتوى الويب، والذي يمكن لمهاجم غير مصادق مقاضاته لتنفيذ تعليمات برمجية عشوائية كمستخدم يُسمح له بتشغيل أوامر PowerShell المعدة. نظرًا لأهمية PowerShell ودوره في الأدوات الهجومية، فمن المرجح أن يكون الاستغلال مباشرًا، ومن المحتمل أن يصبح أكثر خطورة كجزء من سلسلة هجمات الهندسة الاجتماعية ضد المستخدمين المميزين.
وفي الوقت نفسه، تبرز ثغرة GitHub Copilot كواحدة من العيوب الأكثر إثارة للاهتمام التي تم تصحيحها هذا الشهر، وفقًا لـ غامرة المدير الأول لأبحاث التهديدات السيبرانية كيف برين.
“Copilot هو مساعد ترميز GenAI الذي تستخدمه Microsoft وGitHub [and] أوضح برين: “تشير مشكلة عدم الحصانة هذه على وجه التحديد إلى امتدادات JetBrains”. “تشير الثغرة الأمنية إلى أنه من الممكن تنفيذ التعليمات البرمجية على المضيفين المتأثرين عن طريق خداع LLM [large language model] في تشغيل الأوامر التي تتجاوز حواجز الحماية وإلحاق التعليمات في إعدادات “الموافقة التلقائية” الخاصة بالمستخدم.
“يمكن تحقيق ذلك من خلال”الحقن الفوري المتقاطع“،” حيث لا يتم تعديل الموجه بواسطة المستخدم ولكن بواسطة وكلاء LLM أثناء قيامهم بصياغة المطالبات الخاصة بهم استنادًا إلى محتوى الملفات أو البيانات المستردة من خادم بروتوكول السياق النموذجي (MCP) الذي ارتفعت شعبيته لدى LLMs المستندة إلى الوكيل.
وقال برين إنه على الرغم من أن مايكروسوفت قد حددت هذه الثغرة الأمنية على أنها أقل احتمالية للاستغلال، إلا أنه في حالة اعتماد نهج قائم على المخاطر للتصحيح، فإن المطورين الذين تستهدفهم عادةً ما يتمتعون بوصول أكثر امتيازًا إلى مفاتيح واجهة برمجة التطبيقات (API) أو الأسرار الأخرى. وأضاف أنه لذلك، يجب على أي شخص يقوم بتشغيل GitHub Copilot لـ JetBrains التصحيح على الفور.
وأخيرًا، فإن العيوب الثلاثة الحاسمة لهذا الشهر هي جميعها نقاط ضعف في RCE. اثنان منهم، CVE-2025-62554 و CVE-2025-63557، وتؤثر على مايكروسوفت أوفيس، والثالثة، CVE-2025-65272 يمكن العثور عليها في Outlook.
هل تريد أن تكون محطم الأرقام القياسية؟
إذا نظرنا إلى الوراء في العام الذي مضى في تقريره الشهري التصحيح الثلاثاءقال داستن تشايلدز، من مبادرة Zero Day الخاصة بـ Trend Micro، إن مايكروسوفت قامت بتصحيح إجمالي 1139 من التهديدات الخطيرة خلال الـ 12 شهرًا الماضية، مما يجعل عام 2025 ثاني أكبر عام على الإطلاق من حيث الحجم، حيث يتخلف 111 تحديًا كبيرًا فقط عن عام 2020.
كتب تشايلدز أنه مع تنوع محفظة Microsoft ونموها على نطاق واسع، وزيادة انتشار نقاط الضعف الناشئة عن الذكاء الاصطناعي (AI)، يبدو أن عام 2026 سيكون عامًا قياسيًا.
