تفاصيل الثغرة الأمنية
أطلق الباحث الأمني عبد الحميد ناصري، المعروف باسم "Nightmare Eclipse"، تفاصيل ثغرة أمنية جديدة من نوع "يوم صفر" (Zero-Day) تستهدف أنظمة ويندوز. تُعرف الثغرة باسم SignDrop، وتسمح للمستخدمين المحليين برفع صلاحياتهم إلى مستوى النظام (System) من خلال استغلال خلل منطقي في نظام ملفات السجلات المشترك (Common Log File System - CLFS).
يُعد نظام CLFS مكوناً حيوياً في ويندوز يقوم بتحليل ملفات السجلات المعقدة في وضع النواة (Kernel Mode)، وقد كان هدفاً متكرراً للهجمات. وعلى الرغم من تقديم مايكروسوفت لآليات مصادقة لملفات السجلات العام الماضي لتعزيز سلامة الملفات، إلا أن الثغرة الجديدة تتجاوز هذه الحماية عبر التلاعب بكيفية معالجة ملفات المصادقة ذات الامتداد .cnpf.
كيف يعمل الاستغلال؟
تعتمد الثغرة على سلوك نظام CLFS عند فتح ملفات السجلات؛ حيث يقوم النظام بمحاولة توقيع ملف الحاوية (Container) حتى لو كان فارغاً. يمكن للمهاجم إنشاء ملف سجل وتحديد مسار مرتبط بحاوية، ثم إجبار برنامج Windows Defender على فتح هذا الملف ضمن سياق محرك مكافحة البرمجيات عبر واجهة تحديث التوقيعات (RPC).
تؤدي هذه العملية إلى قيام Defender بإنشاء ملف توقيع بصلاحيات النظام في مسار يحدده المهاجم. وبمجرد إنشاء الملف، يمكن للمهاجم إعادة فتحه لإدراج حمولة خبيثة (Payload)، مما يؤدي في النهاية إلى تشغيل غلاف (Shell) بصلاحيات النظام الكاملة.
ما الذي يعنيه ذلك للمستخدمين؟
وفقاً للباحث، فإن الثغرة تؤثر على مجموعة واسعة من إصدارات ويندوز، بما في ذلك Windows 11 26H2 وWindows Server 2025، ويُقدر أنها قد تؤثر على حوالي 80% من أجهزة ويندوز حول العالم، خاصة تلك التي لم يتم تحديثها خلال الـ 90 يوماً الماضية.
من جانبها، أكدت شركة مايكروسوفت أنها تحقق في الثغرة المبلغ عنها وتعمل على اتخاذ الخطوات اللازمة لتحديث المنتجات المتأثرة. وأوضحت الشركة أن Windows Defender قادر حالياً على اكتشاف وحظر محاولات استغلال هذه الثغرة والتنبيه على سلوكيات رفع الصلاحيات المرتبطة بها. كما أشارت التقارير الصادرة عن شركة الأمن السيبراني Cyderes، التي اختبرت الثغرة بنجاح، إلى عدم وجود أدلة حتى الآن على استغلال هذه الثغرة في هجمات فعلية (In the wild).
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.