أصدر الباحث الأمني عبد الحميد ناصري، المعروف أيضاً باسم Nightmare Eclipse، ثغرة يوم صفر جديدة في نظام التشغيل ويندوز تُعرف باسم SignDrop، والتي تتيح للمهاجمين الحصول على صلاحيات SYSTEM الكاملة عبر استغلال آلية الحماية التي أضافتها مايكروسوفت في أكتوبر 2025 للتصدي لهجمات المصادقة التي تستهدف برنامج التشغيل Common Log File System أو اختصاراً CLFS.
وأوضح الباحث أن الثغرة تكمن في الطريقة التي يعالج بها برنامج CLFS إنشاء ملف المصادقة الذي يحمل اللاحقة .cnpf عند إنشاء ملف سجل جديد. وبينما يُجري النظام فحص صلاحيات الوصول بشكل صحيح في البداية، يمكن إساءة استخدام المنطق إذا قامت عملية مميزة أخرى بفتح ملف السجل لاحقاً، مما يدفع عمليات مميزة مثل Windows Defender لفتح الملفات وتوليد ملف المصادقة بصلاحيات SYSTEM.
كيف تتجاوز الثغرة آليات الحماية؟
تتميز ثغرة SignDrop بقدرتها الفريدة على العمل ضد آليات الحماية الذاتية لأي محرك مكافحة برمجيات خبيثة أو أنظمة الكشف والاستجابة للإضافات الأمنية EDR. ويعود ذلك إلى أن طلب إنشاء الملف يبدو صادراً عن العملية الشرعية للمحرك نفسه من منظور برامج نواة النظام، مما يسمح بتجاوز الحماية وتعطيل أي برنامج مضاد للفيروسات.
وأشار ناصري إلى أنه اختبر استغلال الثغرة على أنظمة Windows 11 26H2 وWindows Server 2025 الإجريبية، مقدراً أن نحو 80% من تنصيبات ويندوز قد تكون عرضة للخطر. وحتى الآن، لا توجد حلول متاحة سوى انتظار التصحيح الأمني الرسمي من مايكروسوفت، نظراً لأن تعطيل متدّخلات حماية CLFS قد يعرض الأجهزة لمخاطر أمنية أخرى مرتبطة بفساد الذاكرة.
ما الذي يعنيه هذا للمستخدمين والمسؤولين؟
تؤكد هذه الثغرة تعقيد التداخلات البرمجية بين إصلاحات الأمان والمكونات الأساسية لنظام التشغيل. وحتى تصدر مايكروسوفت تحديثاً أمنياً رسمياً، لا يملك مدراء الأنظمة سوى مراقبة التنبيهات الأمنية وانتظار التصحيحات الرسمية، مع إمكانية استخدام أدوات الفحص الاستباقي التي أتاحها الباحث للتحقق من مدى تأثر الأنظمة الحالية دون وجود وسيلة فورية لإيقاف الخطر برمته.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.