ظهرت ثغرة يوم صفر في ويندوز بعد ساعات من تحديثات مايكروسوفت لشهر يوليو 2026، مع نشر نموذج استغلال يرفع الصلاحيات على الأنظمة المدعومة.
ما هي ثغرة يوم صفر في ويندوز الجديدة؟
كشف الباحث الأمني Chaotic Eclipse عن نموذج إثبات مفهوم جديد يحمل اسم LegacyHive، ويستهدف خدمة Windows User Profile Service المعروفة أيضاً باسم ProfSvc. هذه الخدمة تعد جزءاً أساسياً من النظام لأنها تدير حسابات المستخدمين وبيئات العمل داخل ويندوز.
بحسب التفاصيل المنشورة، تسمح الثغرة بتحميل hive خاص بمستخدم آخر بشكل غير مصرح به، ما قد يفتح الباب أمام رفع الصلاحيات داخل الجهاز. الخطر هنا لا يتعلق بتنفيذ كود عن بعد، لكنه يمنح المهاجم المحلي فرصة للوصول إلى مستوى أعلى من التحكم.
كيف يعمل استغلال LegacyHive على أجهزة ويندوز؟
النموذج المنشور يحتاج إلى بيانات اعتماد لمستخدم عادي إضافي، إلى جانب اسم مستخدم ثالث قد يكون لحساب إداري. وإذا نجحت العملية، يتم ربط hive الخاص بالمستخدم المستهدف داخل المسار المرتبط بالمستخدم الحالي.
أبرز ما نعرفه عن الاستغلال
- الاسم: LegacyHive
- النوع: ثغرة رفع صلاحيات محلية
- المكوّن المستهدف: Windows User Profile Service
- متطلبات التشغيل: حساب مستخدم عادي إضافي واسم مستخدم ثالث
- النطاق: يعمل على نسخ ويندوز المكتبية والخوادم المدعومة
الباحث أوضح أن النسخة المنشورة تم تقليصها لتقليل فرص إساءة الاستخدام العلني. كما أشار إلى أن النسخة الأصلية من الاستغلال كانت أوسع من ذلك، ولم تكن مقيدة بملف usrclass.dat فقط.
هل تؤثر الثغرة على أحدث تحديثات مايكروسوفت؟
اللافت أن النموذج ما زال فعالاً حتى على الأجهزة التي حصلت على تحديثات Patch Tuesday لشهر يوليو 2026. وهذا يعني أن ثغرة يوم صفر في ويندوز ظهرت في توقيت حساس جداً، مباشرة بعد دورة تصحيحات أمنية واسعة من مايكروسوفت.
كما يأتي هذا التطور وسط توتر واضح بين الباحث ومايكروسوفت خلال الأشهر الماضية، بعد الكشف عن عدة ثغرات قبل إتاحة إصلاحات رسمية لها. ووفقاً لرصد تيكبامين، فإن هذا النمط يزيد الضغط على فرق الحماية والمؤسسات التي تعتمد على التحديثات الشهرية كخط دفاع رئيسي.
ما علاقة تحديثات مايكروسوفت بثغرات SharePoint وADFS؟
بالتزامن مع هذه القضية، أطلقت مايكروسوفت تصحيحات لمئات الثغرات، بينها مشكلتان في SharePoint Server وActive Directory Federation Services تم الإبلاغ عن استغلالهما فعلياً. هذا يضع مسؤولي الأنظمة أمام أسبوع مزدحم بالتحقق والتحديث والمراجعة.
لماذا يهم هذا الخبر الشركات؟
- لأن الثغرة تستهدف مكوناً داخلياً مهماً في ويندوز
- لأن النموذج يعمل على الأنظمة المدعومة حتى بعد التحديث
- لأن موجة يوليو 2026 تضمنت ثغرات مستغلة بالفعل
- لأن أي تأخير في التحديث والمراقبة يرفع مستوى المخاطر
في النهاية، تبقى ثغرة يوم صفر في ويندوز مؤشراً جديداً على أن التحديث وحده لا يكفي دائماً دون مراقبة مستمرة وسرعة في الاستجابة. ولهذا تنصح تيكبامين المؤسسات والمستخدمين المتقدمين بمتابعة التنبيهات الأمنية، ومراجعة سجلات الأجهزة، وتقليل صلاحيات الحسابات قدر الإمكان حتى صدور توضيحات أو معالجات إضافية.
