أعلنت شركة Microsoft، يوم الاثنين 27 يوليو 2026، عن اكتشاف خللين في تحديثات تطبيق Microsoft Defender for Endpoint على أنظمة Linux، يترتب على أحدهما تعطيل خدمة الحماية النشطة بعد إعادة تشغيل الجهاز، بينما يمنع الآخر تثبيت التحديثات على أنظمة Red Hat Enterprise Linux (RHEL) المفعل عليها وضع المعايير الفيدرالية الأمريكية لمعالجة المعلومات (FIPS).
أثر الخلل الأكثر خطورة على الإصدارات الممتدة من 101.26042.0000 وحتى 101.26042.0009، شاملاً جميع توزيعات Linux المدعومة؛ إذ يتسبب التحديث أو إعادة التثبيت ثم إعادة التشغيل في توقف خدمة Defender وبقائها في حالة “معطلة” بصمت، ما يلغي الحماية النشطة وتصبح الأجهزة مكشوفة دون حماية حتى التدخل الإجرائي التصحيحي. وقد عالجت الشركة هذا الخلل في الإصدار المصحح رقم 101.26042.0011.
وبحسب الإشعار الموثق في سجل إصدارات Defender for Endpoint، يُعد المستخدمون المعتمدون على Defender for Servers (الخطة 1 أو الخطة 2) ضمن بيئة Defender for Cloud مع تفعيل التكامل الخاص بـ Microsoft Defender for Endpoint، الأكثر عرضة للتأثر؛ نظراً لأن التحديثات التلقائية لملحق MDE.Linux تفعل افتراضياً، ما أدى إلى تلقي أجهزتهم للإصدار المتأثر تلقائياً دون تدخل يدوي. ولم تفصح Microsoft عن السبب الجذري لتوقف الخدمة، ما أثار قلق مسؤولي أمن المعلومات في ظل غياب أي حلول بديلة سوى الترقية الفورية للنسخة المصححة.
أما الخلل المنفصل، فيستهدف الأنظمة التي تعمل بوضع FIPS على توزيعتَي RHEL 8 وRHEL 9؛ حيث يفشل التحديث 101.26042.x في إكمال عملية التثبيت، فتظل الأجهزة عالقة على إصدار سابق. ويشير وضع FIPS إلى اشتراطات التشفير المعتمدة ضمن المعايير الفيدرالية الأمريكية للجهات الحكومية والقطاعات الخاضعة للتنظيم. ولحل هذا القصور، طرحت Microsoft الإصدار 101.26052.0011 والإصدارات الأحدث منه للسماح باستكمال التثبيت بانتظام.
سارعت Microsoft إلى سحب الإصدارات المتأثرة من قناة الإنتاج لجميع توزيعات Linux المدعومة لمنع أي تثبيتات جديدة. ويوصى مسؤولو الأنظمة بالتحقق من حالة الوكيل عبر الأمر mdatp health، والتأكد من اعتماد الإصدار 101.26042.0011 أو ما يليه لتفادي تعطيل الخدمة، واستخدام الإصدار 101.26052.0011 أو أحدث للأنظمة التي تطبق وضع FIPS. كما ينبغي مراجعة تقرير “صحة الأجهزة” في بوابة Microsoft Defender لتحديد أي نقاط طرفية تبلغ عن حالة تعطيل، مع منح الأولوية للتعامل مع الخوادم الموجهة للإنترنت والتطبيقات ذات القيمة العالية.
ولا تعد هذه الحادثة الأولى من نوعها خلال العام؛ إذ شهد شهر يناير تسبب خطأ في الفحص الفوري في إعادة تشغيل غير متوقعة لأنظمة Linux المزودة بأجهزة مراقبة مادية. وعلى الرغم من جهود Microsoft لفصل تحديثات مستشعر الكشف والاستجابة عند النقاط الطرفية (EDR) عن التصحيحات الشهرية لنظام Windows بهدف تسريع الاستجابة، فإن واقعة تعطيل الخدمة على Linux تؤكد أن تسريع دورات التحديث يحمل مخاطر ارتدادية، ما يجعل التحقق المباشر عقب التحديث ضرورة أساسية لاستمرار الحماية في البيئات المختلطة.
