أصدرت Microsoft، الثلاثاء 8 سبتمبر 2026، حزمة تحديثات أمنية شهرية وصفت بأنها الأضخم في تاريخها، عالجت فيها ما يقارب ألف ثغرة في منتجاتها، بينها ثغرتان جرى استغلالهما فعلياً قبل توفر الإصلاح. وتتباين الأرقام المعلنة حول إجمالي الثغرات المعالجة بين المصادر المتخصصة، إذ أحصت SecurityWeek نحو 974 ثغرة، بينما رصدت BleepingComputer نحو 966 ثغرة، في حين أشارت The Record إلى أن العدد تجاوز 900 ثغرة للمرة الأولى.
وأكدت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) أن الثغرتين المستغلتين هما CVE-2026-85880 وCVE-2026-81963، وحددت يوم 22 سبتمبر 2026 موعداً نهائياً للوكالات الفيدرالية لتطبيق التحديثات اللازمة.
تتمثل الثغرة الأولى، CVE-2026-85880، في خلل من نوع تجاوز سعة المخزن المؤقت في مكون Windows Advanced Local Procedure Call (ALPC)، وتتيح لمهاجم محلي يمتلك صلاحيات منخفضة داخل بيئة AppContainer تجاوز العزل ورفع الامتيازات إلى مستوى النظام دون حاجة إلى تفاعل إضافي من المستخدم. وتعد هذه أول ثغرة من نوعها في هذا المكون تعالجها Microsoft منذ أبريل 2023، والثانية التي تستغل كثغرة يوم صفر خلال نحو أربع سنوات، وفقاً للمهندس الباحث في Tenable، ساتنام نارانغ.
أما الثغرة الثانية، CVE-2026-81963، فتكمن في خلل من نوع اتباع الروابط في Windows Update Stack، وهو المكون المسؤول عن تثبيت تحديثات Windows، وتتيح بدورها رفع الامتيازات محلياً إلى مستوى النظام. ووفقاً لبيانات Microsoft الرسمية، حصلت هذه الثغرة على درجة خطورة 7.8 وفق نظام CVSS 3.1، وصُنفت ضمن فئة مهمة، مع درجة زمنية بلغت 7.2. ويشير نارانغ إلى أنها أول ثغرة يوم صفر تُسجل في هذا المكون من بين سبع ثغرات عولجت فيه خلال السنوات الخمس الماضية.
وشملت التحديثات نطاقاً واسعاً من المنتجات، إذ عالجت Microsoft ثغرات في Windows وOffice وSQL Server وSharePoint Server وAzure وSkype for Business وExchange Server وAuthenticator وRemote Desktop Services. ولفت الباحث في Zero Day Initiative، داستن تشايلدز، إلى أن 20 من الثغرات المعالجة يمكن تصنيفها بأنها قابلة للانتشار ذاتياً، أي أنها تتيح تنفيذ تعليمات برمجية عن بُعد دون مصادقة أو تفاعل من المستخدم، وهو تقييم خبير لا يصدر بالضرورة عن تصنيف رسمي من Microsoft.
وفي سياق متصل، أشار نارانغ إلى أن الارتفاع المتواصل في أعداد الثغرات المعلنة لا يعني بالضرورة زيادة متناسبة في المخاطر الفعلية على المؤسسات، موضحاً أن أدوات اكتشاف الثغرات المدعومة بالذكاء الاصطناعي تضخّم حجم كومة القش دون أن تعثر على مزيد من الإبر. وشدد على أهمية أن تحدد المؤسسات الثغرات التي تنطبق فعلياً على بيئاتها، وما إذا كانت قابلة للوصول والاستغلال، ثم ترتيب أولويات المعالجة وفق هذا السياق.
وتعكس هذه الحزمة القياسية تحولاً أوسع في مشهد التحديثات الأمنية، إذ يرى خبراء أن البائعين الاستباقيين يسعون إلى تقليص سطح الهجوم عبر معالجة ثغرات ظلت كامنة لفترات طويلة. غير أن الحجم الهائل للإصلاحات يفرض على فرق الأمن عبئاً متزايداً في الفرز وتحديد الأولويات، وهو ما يجعل أدوات إدارة الثغرات وسياقات المخاطر الفعلية عنصراً حاسماً في الاستجابة.
