أصدرت شركة Microsoft حزمة تحديثات أمنية موسعة ضمن دورة التحديثات الشهرية، عالجت من خلالها 206 ثغرات أمنية في مختلف منتجاتها، لتسجل هذه الدورة واحدة من أكبر دفعات التصحيح التي تعلنها الشركة.
ووفقاً للتفاصيل الفنية المنشورة، تنقسم هذه العيوب البرمجية إلى 39 ثغرة مصنفة بدرجة خطورة “حرجة”، و167 ثغرة بدرجة “مهمة”. وتتنوع طبيعة هذه الثغرات لتشمل تصعيد الصلاحيات، وتنفيذ البرمجيات عن بُعد، وكشف المعلومات، والانتحال، وتجاوز الميزات الأمنية، وحجب الخدمة، والعبث بالبيانات. كما غطت التحديثات ثغرات مرتبطة بمكونات خارجية لا تتبع مباشرة لشركة Microsoft، بالإضافة إلى معالجة عيوب في مشروع Chromium تؤثر في متصفح Microsoft Edge.
ومن أبرز الثغرات التي استهدفتها الحزمة بالمعالجة الثغرة (CVE-2026-45657 بتقييم CVSS عند 9.8) التي تصيب نواة نظام التشغيل. وتكمن خطورتها في إمكانية استغلالها لتنفيذ تعليمات برمجية عن بُعد عبر حزم شبكية معدة خصيصاً، حيث تتيح للمهاجم تشغيل برمجيات بصلاحيات نظام مرتفعة دون الحاجة إلى تسجيل دخول أو تفاعل من المستخدم (Zero-Click).
وفي السياق ذاته، أصلحت الحزمة ثغرتين حرجتين أخريين بدرجة خطورة 9.8 وفق مقياس CVSS، هما CVE-2026-47291 في مكون Windows HTTP.sys، وCVE-2026-44815 في عميل بروتوكول التكوين الديناميكي للمضيف. وتنبع خطورة هذين العيبين من ارتباطهما اللصيق بخدمات شبكية حيوية، ما يرفع أولوية التصحيح الفوري لهما، لا سيما في بيئات الخوادم والشبكات المؤسسية التي تتعامل مباشرة مع طلبات الشبكة أو خدمات DHCP.
أما على صعيد الثغرات التي كُشف عنها علناً قبل صدور التصحيح، فقد برزت ثلاث ثغرات رئيسية، أولها الثغرة (CVE-2026-50507 بتقييم CVSS عند 6.8) المرتبطة بتجاوز نظام حماية وتشفير BitLocker، والثغرة (CVE-2026-49160 بتقييم CVSS عند 7.5) في مكون HTTP.sys، والثغرة (CVE-2026-45586 بتقييم CVSS عند 7.8) التي تصيب إطار عمل الترجمة التعاونية. ورغم أن الكشف العلني لا يعني بالضرورة رصد استغلال نشط لها في الهجمات، إلا أنه يزيد من احتمالية تطوير المهاجمين لنماذج إثبات المفهوم واستغلالها فعلياً.
وارتباطاً بالثغرة CVE-2026-49160، نشرت Microsoft إرشادات تقنية منفصلة تتعلق بتهيئة متغير جديد يحمل اسم MaxHeadersCount. تتيح هذه الميزة لمسؤولي الأنظمة تحديد الحد الأقصى لعدد ترويسات HTTP/2 وHTTP/3 المقبولة، بهدف الحد من مخاطر الاستهلاك المفرط لترميز الذاكرة والمعالج، والتصدي لهجمات حجب الخدمة الناجمة عن معالجة الترويسات المضغوطة في HTTP.sys وخوادم معلومات الإنترنت (IIS).
كما شملت المعالجة الأمنية ثغرات في نظام BitLocker قد تسمح للمهاجمين، في حالات معينة، بتجاوز تشفير الجهاز إذا أتيح لهم الوصول المادي إلى النظام المستهدف. وتحث Microsoft على الإسراع في تثبيت تحديثات أنظمة Windows للتغلب على هذه العيوب، بما فيها ثغرة عُرفت في الأوساط التقنية باسم MiniPlasma، والتي ترتبط بإصلاح سابق غير مكتمل.
وتعكس كثافة الثغرات المرصودة في هذه الدورة الأثر المتزايد لأدوات اكتشاف الثغرات المدعومة بالذكاء الاصطناعي في المشهد السيبراني؛ إذ ساهمت هذه التقنيات في تسريع وتيرة رصد العيوب البرمجية وزيادة عمقها، ما يفرض ضغوطاً إضافية على فرق إدارة التصحيحات الأمنية أثناء ترتيب أولويات التحديث والتحقق من سلامة الأنظمة الحساسة.
