أصدرت Microsoft النسخة الثانية (V2) من التحديثات الأمنية لشهر سبتمبر 2026 الخاصة بخوادم Exchange Server، لمعالجة ثغرة رفع صلاحيات تتيح للمهاجمين الوصول إلى صناديق بريد المستخدمين داخل المؤسسة. يستوجب الإصدار الجديد قيام المؤسسات التي ثبّتت الحزمة الأولى بإعادة عملية التحديث، نظراً لكون الفارق الوحيد بين النسختين هو تضمين هذه المعالجة الأمنية المحددة.
طبيعة الثغرة وتقييم الخطورة
تُصنف الثغرة (CVE-2026-96940 بتقييم CVSS عند 8.8) ضمن فئة ضعف التحكم في المصادقة، وتحديداً رفع الصلاحيات. يتيح هذا الخلل لمهاجم يمتلك مصادقة مسبقة اختراق صناديق البريد الأخرى ضمن نطاق المستأجر نفسه، دون أن يمتد التأثير عبر حدود المستأجرين.
وفي حين وصفت تقارير إعلامية الثغرة بالحرجة، يؤكد مركز الاستجابة الأمنية في Microsoft تصنيفها بدرجة مهمة، مع الإشارة إلى عدم تطلبها أي تفاعل من المستخدم لنجاح عملية الاستغلال.
حالة الاستغلال والبيئات المتأثرة
اكتشفت الفرق الداخلية في Microsoft الثغرة قبل تسجيل أي استغلال نشط لها، ولم تُدرج ضمن قائمة الثغرات المستغلة الصادرة عن وكالة الأمن السيبراني وأمن البنية التحتية الأميركية حتى مطلع أكتوبر 2026.
وتغطي التحديثات الجديدة إصدارات محددة تشمل خوادم Exchange Server Subscription Edition RTM عبر الحزمة KB5129955، وإصداري 2019 للمسارين CU15 وCU14 عبر الحزمتين KB5129956 وKB5129957 توالياً، إضافة إلى إصدار 2016 للمسار CU23 عبر الحزمة KB5129958، مع ضرورة مراجعة أدلة النشر الرسمية للتحقق من أرقام الحزم.
وفيما يخص البيئات السحابية، تتمتع خوادم Exchange Online بحماية تلقائية، بينما يتوجب على المؤسسات العاملة ببيئات هجينة تحديث خوادمها المحلية وأدوات الإدارة المرتبطة بها.
قيود الدعم وإرشادات النشر
تخضع إصدارات 2016 و2019 لقيود برنامج التحديثات الأمنية الموسعة للفترة الثانية المنتهية في أكتوبر 2026، ما يفرض على المؤسسات ترحيل أنظمتها إلى إصدار الاشتراك لضمان استمرارية تلقي التحديثات. وتوصي خطة النشر باستخدام أداة فحص صحة الخادم لتحديد التحديثات التراكمية المفقودة، وتوظيف معالج التحديثات لتخطيط مسار الترقية الدقيق.
يترافق التحديث مع مشكلات تقنية قيد المعالجة، أبرزها ظهور خطأ الاستجابة 500 عند التعامل مع ملفات التقويم، وتوقف محرك المحتوى المرتبط بملفات اللغة الكورية، إلى جانب تضمنه إصلاحات مخصصة لرسائل صناديق البريد المشتركة وتوافر الحسابات المفوضة في البيئات الهجينة.
