كشف باحثون من جامعة برمنغهام وجامعة دورهام عن هجوم برمجي جديد يحمل اسم «Download More RAM»، يتيح تجاوز أقوى الدفاعات الأمنية في نظام Windows 11 دون الحاجة إلى وصول مادي للجهاز المستهدف.
عرضت نتائج هذا البحث الفائز بجائزة خلال مؤتمر USENIX Security Symposium لعام 2026 في بالتيمور. اعترفت Microsoft بالثغرة (CVE-2026-23670 بتقييم CVSS عند 5.7)، وأصدرت إجراءات تخفيف ضمن التحديثات الأمنية لشهر أبريل 2026. يصنف هذا الخطر ضمن فئات تجاوز الميزات الأمنية، والتهرب الدفاعي، وتصعيد الامتيازات بعد الاختراق، ويعتمد الهجوم حالياً على إثبات مفهوم يتطلب صلاحيات مدير محلي، ويتوفر له سكريبت استغلال آلي.
يعتمد الهجوم على استغلال شريحة التكوين (SPD) المدمجة في وحدات الذاكرة DIMM، والتي تتولى حفظ بيانات السعة، والسرعة، وإعدادات التشغيل الخاصة بالوحدة.
تطال تأثيرات هذا الهجوم أنظمة Windows 10 وWindows 11 العاملة بوحدات ذاكرة DDR4 وDDR5 من إنتاج شركات Corsair وG.Skill وADATA، وذلك لافتقار شريحة SPD فيها لآليات حماية الكتابة. يسمح هذا القصور للمهاجم بتعديل البنية الهندسية المُبلغ عنها للذاكرة، لخداع النظام والإبلاغ عن سعة وهمية تفوق السعة المادية الفعلية.
يؤدي هذا التلاعب إلى إحداث حالة تُعرف بـ “تداخل عناوين الذاكرة”، حيث تشير عناوين منطقية متعددة إلى الموقع الفيزيائي ذاته، ما يسفر عن تجاوز ضوابط الوصول والقيود الأمنية التي يفرضها كل من نظام التشغيل والمعالج.
أوضح أستاذ الأمن السيبراني في جامعة برمنغهام، البروفيسور توم تشوثيا، أن العمليات التشغيلية تتشارك مساحات الذاكرة ذاتها، ما يجعل استغلال هذه النقطة كفيلاً بكسر الضمانات الأمنية لنظام Windows. وأشار إلى أن الهجمات المشابهة كانت تتطلب سابقاً وصولاً فيزيائياً للأجهزة، في حين يُمكن تنفيذ هذا الهجوم برمجياً عبر نص برمجي آلي، ما يوسع نطاق انتشاره ويغير طبيعة الجهات القادرة على تنفيذه.
يتيح هذا التلاعب بالذاكرة للمهاجمين إمكانية الوصول إلى قطاعات معزولة ومحظورة كلياً، حتى على نظام التشغيل نفسه. وقد أثبتت التجارب العملية قدرة الهجوم على إعادة تفعيل مئات من برامج التشغيل المدرجة في قوائم الحظر والمليئة بالثغرات، والتي سبق استخدامها لنشر البرمجيات الخبيثة وبرامج الفدية.
يمتد الأثر الأمني لهذا الاستغلال ليشمل تعطيل برامج مكافحة الفيروسات، وأدوات الكشف عن التهديدات والاستجابة لها، بالإضافة إلى اختراق بيئات العزل الافتراضية وقراءة بياناتها، وتجاوز سياسات إدارة الأجهزة المؤسسية، وأنظمة مكافحة الغش في الألعاب.
كما يسفر الهجوم عن تعطيل تقنيتي VBS وHVCI، اللتين تمثلان خط الدفاع الأخير لشركة Microsoft في مواجهة المهاجمين المتمتعين بصلاحيات إدارية.
أوضح الباحث الرئيسي، سام كولينز، أن سوء تهيئة الذاكرة كان يعد سابقاً مجرد مشكلة تتعلق بالموثوقية، إلا أن هذا الهجوم يبرز ضرورة التحقق من آليات السلامة، حتى في حال غياب مسار استغلال واضح أمام المصنعين، مشيراً إلى أن تقنية VBS قد اعتمدت على أساس أمني غير متين.
وفي هذا السياق، طور فريق البحث نصاً برمجياً آلياً ينفذ سلسلة الهجوم بالكامل بشكل مستقل؛ بدءاً من إحداث تداخل في الذاكرة وإعادة تشغيل النظام، وصولاً إلى إبطال الحماية الأمنية دون الحاجة لأي تدخل من المستخدم. من جهته، صرح الأستاذ المساعد في جامعة برمنغهام، الدكتور ماريوس مونش، بأن ضمانات Windows لحماية النواة الآمنة ضد مسؤولي النظام تستند إلى افتراض صحة بيانات الذاكرة، وهو افتراض يفتقر للدقة في العديد من وحدات الذاكرة التجارية.
أظهر مسح شمل وحدات الذاكرة الاستهلاكية الشائعة أن شركات Corsair وG.Skill وADATA تُوفر خط إنتاج واحداً على الأقل مزوداً بشريحة تكوين تفتقر لأي حماية، وذلك في مخالفة لإرشادات مجلس هندسة الأجهزة الإلكترونية المشترك JEDEC. وتستحوذ هذه الخطوط على 55% من سوق الذاكرة الاستهلاكية عالية الأداء، وأكثر من 70% من قطاع الألعاب. في المقابل، تضمنت وحدات من شركات Crucial وKingston وHyperX، بالإضافة إلى بعض طرازات G.Skill، آليات حماية جزئية للكتابة تمكنت من صد الهجوم بنجاح، مع الإشارة إلى أن مستوى الحماية يتفاوت بين الطرازات، وأن الاختبار لم يشمل كافة المنتجات.
تم الالتزام بآلية الإفصاح المنسق عبر إبلاغ الشركات المتأثرة وتزويدها بالبيانات التقنية الكاملة قبل النشر بوقت كافٍ. ووفقاً للباحثين، فإن تفعيل خاصية الإقلاع الآمن يحد من فعالية سلسلة الهجوم الحالية، إلا أن الأجهزة التي تعطل هذه الخاصية تظل عرضة للخطر.
وتشير الورقة البحثية إلى أن إجراءات التخفيف الأمنية الأخيرة من Microsoft تنجح في صد سلسلة الاستغلال المثبتة حالياً، لكنها تبقي على المخاطر الأوسع التي قد تنجم عن تقنيات استغلال بديلة مستقبلاً.
ورغم عدم تسجيل أي حالات استغلال فعلية في بيئات العمل الحقيقية حتى الآن، يوصى بتطبيق تحديثات Windows، وتفعيل كل من Secure Boot وVBS، إلى جانب مراجعة إعدادات BIOS لمنع الكتابة على شريحة SPD. كما يشدد على ضرورة التزام مصنعي الذاكرة بفرض آليات حماية الكتابة على شرائح التكوين.
