يوم التصحيحات لشهر نوفمبر 2026 من مايكروسوفت: ثغرة واحدة من بين 1,095 ثغرة حصلت على تقييم 6.5، وهي تتعرض للهجوم حالياً

تم تصنيف الثغرة الأمنية الوحيدة التي تم استغلالها في منتجات مايكروسوفت هذا الشهر على أنها «متوسطة» — وهي تحمل أعلى تصنيف لدرجة نضج الاستغلال تصدره مايكروسوفت. وقد اكتشفها باحث باستخدام الذكاء الاصطناعي، وكان يتم استغلالها بالفعل على نطاق واسع. وفي الوقت نفسه، فإن الخلل الذي تسبب فعليًّا في اختراق جدران الحماية هذا الشهر لم يكن تابعًا لمايكروسوفت على الإطلاق.

لمحة عامة

عدد العناوين هو عدد الثغرات الأمنية (CVE) التي صنّفتها مايكروسوفت بتصنيف «التأثير»، باستثناء 267 ثغرة أمنية أعيد نشرها من قبل أطراف ثالثة (حزم Azure Linux / Mariner، وثغرات Chromium التي حددتها جوجل). وبإضافة تلك الثغرات، يضم المستند 1,362 صفًا. وتشير تقارير Tenable وKrebs إلى 1,093 ثغرة، وZDI إلى حوالي 1,090 ثغرة، وBleepingComputer إلى 1,235 ثغرة، وذلك بناءً على معايير مختلفة. تستند أرقامنا إلى النسخة المعدلة بتاريخ 11 نوفمبر. وقد شهد شهر نوفمبر انخفاضًا بنسبة 23% مقارنةً بـ 1,418 في أكتوبر — وهو الشهر الثاني الذي يسجل رقمًا مكونًا من أربعة أرقام، ولكنه لا يمثل رقمًا قياسيًّا جديدًا.

الإصدار، حسب فئة التأثير

1,095 ثغرة أمنية (CVE) أعدتها شركة مايكروسوفت.

تمثل «رفع مستوى الامتياز» 49% من الثغرات المكتشفة، وهي تتطلب وجود موطئ قدم أولاً. أما «تنفيذ التعليمات البرمجية عن بُعد» فهي الفئة التي لا تحتاج إلى موطئ قدم. وقد أحصت شركة «تينابل» 287 منتجاً متأثراً؛ وأكثرها تأثراً هي «Office Word» (65)، و«Office Excel» (64)، و«SQL Server » (53).

ما يهم حقًّا هذا الشهر

خمسة أمور، مرتبة حسب الأولوية.

1. حصلت الثغرة الوحيدة التي تم استغلالها في منتجات مايكروسوفت على تقييم 6.5 — وتصنف مايكروسوفت درجة نضج استغلال هذه الثغرة على أنها «عالية»

هذا هو أقصى درجة على المقياس: كود استغلال متاح على نطاق واسع وموثوق. CVE-2026-124194 هي ثغرة في Outlook تؤدي إلى تسرب تجزئات NTLM، وقد قلل نظام CVSS من خطورتها لأن تأثيرها يقتصر على السرية فقط ويتطلب تفاعلًا من المستخدم. من بين 1,095 ثغرة CVE، تم تصنيف 1,084 منها «غير مثبت» ، بينما تم تصنيف عيب آخر على أنه «إثبات المفهوم». وقد صنفته CVSS على أنه «متوسط». أما نضج الاستغلال فيشير إلى أنه جاهز للاستخدام الآن.

2. لا يتضمن التحديث التراكمي لنظام ويندوز هذا التصحيح

يتم تضمين الإصلاح في تحديثات الأمان — Microsoft 365 Apps for Enterprise و Office LTSC 2021/2024 — وليس في KB5132061. وستظل أي مؤسسة تنشر حزمة التحديثات الشهرية لنظام Windows وتعتبر أن الأمر قد انتهى معرضة للخطر. الموعد النهائي الذي حددته وكالة الأمن السيبراني والبنية التحتية (CISA) هو 24 نوفمبر.

3. ظهرت «AI» في كلا الجانبين من الشهر نفسه

تنسب «مايكروسوفت» اكتشاف الثغرة في «أوتلوك» إلى باحث كان يعمل «باستخدام كلود مع أنثروبيك» — وكان هذا الخلل قد تم استغلاله بالفعل عند اكتشافه. وفي نفس السياق، استخدم المهاجمون المساعدة التي يوفرها الذكاء الاصطناعي لبناء سلسلة استغلال «php2shell» التي تمكنت من اختراق جدران الحماية الخاصة بشركة «بالو ألتو». وقد تسارعت وتيرة كل من اكتشاف الثغرة واستغلالها، في نفس الدورة الإخبارية.

4. الضرر الفعلي لهذا الشهر جاء من PHP، وليس من مايكروسوفت

CVE-2026-109618 و CVE-2026-109619 هما ثغرتان تسمحان بتنفيذ التعليمات عن بُعد (RCE) دون مصادقة في نواة PHP نفسها — EPSS 0.9999، وهو أعلى معدل بين جميع ثغرات CVE في هذه الفترة. اكتشف «هوني بوت» (honeypot) التابع لشركة أمازون محاولة استغلال قبل أربعة أيام من الإعلان العام، بينما كانت الثغرة لا تزال خاضعة للحظر. تم اختراق ما لا يقل عن 25 جدار حماية من نوع Palo Alto. ولم يرد أي ذكر لهذه الثغرات في تحديثات «Patch Tuesday».

5. يستمر حجم التداول في التراجع بعيدًا عن المخاطر

1,095 ثغرة أمنية (CVE) من مايكروسوفت، تم استغلال واحدة منها — 0.09٪. تُظهر بيانات VulnCheck ارتفاعًا بنسبة 45٪ في عدد الثغرات الأمنية المنشورة مقارنةً بالعام الماضي، في حين ارتفع عدد الثغرات التي تم تأكيد استغلالها بنسبة 10٪، وانخفضت نسبة الثغرات المستغلة إلى 1.4٪ بعد أن بلغت ذروتها عند 2.7٪. لكن متوسط المدة الزمنية من النشر إلى الاستغلال انخفض من 120 يومًا إلى 80 يومًا. الكم يتناقص؛ والفتيل يقصر.

إرشادات التخفيف

التحديثات الخمسة من مايكروسوفت التي تتطلب خطة، وليس مجرد تصحيح. بالنسبة لكل منها: ما الذي يفعله المهاجم فعليًّا باستغلالها، وما الذي يجب البحث عنه في بيئتك الخاصة، وما الذي يجب فعله بعد نشر التحديث.

CVE-2026-124194 — Microsoft Outlook، تسريب قيمة التجزئة NTLM

تم استغلالها · CVSS 6.5 · درجة نضج الاستغلال: عالية · تاريخ انتهاء صلاحية KEV: 24 نوفمبر 2026 · CWE-356

تصنف «مايكروسوفت» هذه الحادثة على أنها «انتحال الهوية»؛ لكن من الناحية العملية، فهي تمثل تسربًا لبيانات الاعتماد. حيث يؤدي ملف رسالة مُصمم خصيصًا إلى دفع «أوتلوك» للتواصل مع موقع يخضع لسيطرة المهاجم دون ظهور التحذير المعتاد المتعلق بالمحتوى الخارجي، ثم تقوم «ويندوز» بعد ذلك بالمصادقة تلقائيًّا، مما يؤدي إلى تسليم التجزئة NTLMv2 الخاصة بالمستخدم. ويشير الرقم 6.5 إلى تأثير يقتصر على السرية بالإضافة إلى التفاعل المطلوب — ولا يذكر شيئًا عن القيمة التي تمثلها بيانات اعتماد المجال التي تم ترحيلها.

كيف يستغل المهاجمون هذه الثغرة

• إرسال ملف رسالة مُصمم بعناية؛ يقوم المستخدم بفتحه. لا يُعد جزء المعاينة متجهًا — يجب فتح الملف.
• يقوم برنامج Outlook بالاتصال بالخارج، ويقوم نظام Windows بالمصادقة التلقائية، مما يؤدي إلى الكشف عن التجزئة NTLMv2.
• قم بنقله مباشرةً إلى أي خدمة تفتقر إلى التوقيع عبر SMB/LDAP أو «الحماية الموسعة للمصادقة»، أو قم بفك تشفيره دون اتصال بالإنترنت على مهل.

ما الذي يجب الانتباه إليه

• اتصال SMB صادر (المنفذ 445) إلى وجهات خارجية بعد وقت قصير من فتح ملف رسالة.
• محاولات المصادقة باستخدام NTLM إلى وجهات على الإنترنت — تحقق من سجل أحداث «NTLM Operational».
• ما إذا كان التوقيع باستخدام SMB والتوقيع باستخدام LDAP وEPA يُطبق فعليًّا أم لا. فهذه العناصر هي التي تحول التجزئة المسربة من اختراق إلى مجرد إزعاج.
• لم يتم نشر أي مؤشرات IOC، ولم يتم ذكر اسم أي جهة فاعلة، لذا فإن «البحث السلوكي» هو الخيار الوحيد.

إرشادات التخفيف

• قم بتثبيت تحديث Office، وليس مجرد حزمة التحديثات المتراكمة لنظام Windows. تتضمن تطبيقات Microsoft 365 للمؤسسات و Office LTSC 2021/2024 هذا الإصلاح. هذه هي الطريقة الأكثر احتمالاً التي قد تجعلك تعتقد أنك قمت بتثبيت التصحيح بينما لم تفعل ذلك.
• نقاط النهاية قبل الخوادم. يتم التسليم عبر البريد الإلكتروني، والهدف هو شخص.
• قم بتفعيل التوقيع عبر SMB و LDAP و«الحماية الموسعة للمصادقة» إذا لم تكن قد قمت بذلك بعد. فهذه الإجراءات تحد من إمكانية الترحيل لكل المتغيرات المستقبلية لهذا النوع من الثغرات، وليس فقط هذه الثغرة (CVE).
• قم بحظر بروتوكول SMB الصادر من الشبكة الخارجية. فنادرًا ما يكون هناك سبب مشروع لذلك.

CVE-2026-116928 — مكون البحث في Windows، تنفيذ التعليمات البرمجية عن بُعد

حرجة · CVSS 9.8 · AV:N / PR:N / UI:N · العامل المُحفز: مرفق مُفهرس · لم يتم استغلاله بعد

ثغرة تسمح بتنفيذ التعليمات البرمجية عن بُعد (RCE) قبل المصادقة دون أي تفاعل من المستخدم. التفصيل الذي يميزها عن الثغرات الأخرى المصنفة بدرجة 9.8: يتم معالجة المرفق الخبيث المرسل إلى خادم Exchange تلقائيًّا عند فهرسته. لا يقوم أي شخص بفتح أي شيء. ويتطلب إغلاق هذه الثغرة بشكل كامل تثبيت تصحيح كل من Windows وExchange.

كيف يستغل المهاجمون هذه الثغرة

• أرسل مرفقًا مُعدًّا بعناية إلى أي صندوق بريد على خادم Exchange مع تمكين الفهرسة.
• يقوم مُفهرس البحث بتحليل الرسالة وتنفيذها، قبل أن يراها أي شخص.

ما الذي يجب الانتباه إليه

• خوادم Exchange التي تم تمكين فهرسة المحتوى عليها — وهي الغالبية العظمى منها.
• عمليات فرعية غير متوقعة من أداة فهرسة البحث أو مكونات نقل Exchange.
• خوادم الملفات التي تم تمكين ميزة «Windows Search» عليها في الموارد المشتركة التي تسمح بالتحميل.

إرشادات التخفيف

• تصحيح كلا Windows و Exchange. نصف الإصلاح يترك الثغرة مفتوحة.
• تعامل مع الأمر بنفس درجة الاستعجال التي تتعامل بها مع العنصر المستغل — دون مصادقة، وبدون تفاعل، وآلية توصيل تستخدمها كل مؤسسة بالفعل.
• تأكد من وصول التحديث إلى جميع الخوادم في مجموعة DAG، وليس فقط إلى الخادم الذي قمت باختباره.

CVE-2026-119958 — LDAP في Windows، تنفيذ التعليمات البرمجية عن بُعد

حرجة · CVSS 9.8 · الكتابة خارج النطاق · AV:N / PR:N / UI:N · لم يتم استغلالها بعد

كتابة خارج النطاق غير مصدق عليها في خدمة LDAP. تعمل خدمة LDAP على كل وحدة تحكم بالمجال، مما يجعل هذه المشكلة بمثابة النظير لشهر نوفمبر لمشكلة DNS: فالخدمة المعرضة للخطر وأهم الأصول الأمنية موجودة على نفس المضيف.

كيف يستغل المهاجمون هذه الثغرة

• إرسال حركة مرور LDAP مُعدة خصيصًا إلى وحدة تحكم نطاق يمكن الوصول إليها. دون الحاجة إلى بيانات اعتماد، ودون النقر على أي شيء.
• التنفيذ في سياق خدمة LDAP — على خادم DC، أي الدليل نفسه.

ما الذي يجب الانتباه إليه

• ما هي الشبكات التي يمكنها الوصول إلى 389/636 على مراكز البيانات الخاصة بك؟ الإجابة عادةً ما تكون «أكثر مما تود».
• تتعطل خدمة LDAP أو تُعاد تشغيلها دون حدوث أي تغيير يبرر ذلك.
• مراكز البيانات المعرضة لشبكات الضيوف أو شبكات الوصول عن بُعد أو شبكات العمليات التشغيلية (OT).

إرشادات التخفيف

• يجب البدء بوحدات التحكم في المجال أولاً، قبل البنية العامة للخوادم. فكل ما عدا ذلك في الدليل يعتمد عليها.
• تقييد إمكانية الوصول إلى LDAP أثناء عملية النشر. تتيح ضوابط الشبكة كسب بعض الوقت؛ ولا يمكن إزالة الخلل إلا من خلال التصحيح.
• وبما أنك هنا: إذا لم يكن التوقيع عبر LDAP إلزاميًا، فإن هذا الشهر يقدم لك سببين مستقلين لإصلاح ذلك.

CVE-2026-88218 — خدمة DNS في Windows Server ، تنفيذ التعليمات البرمجية عن بُعد

حرجة · CVSS 9.8 · AV:N / PR:N / UI:N · 4 ثغرات أمنية في نظام DNS في هذه الدورة · لم يتم استغلالها بعد

ثغرة تسمح بتنفيذ تعليمات برمجية عن بُعد دون مصادقة في خدمة DNS بنظام Windows، وهي واحدة من أربع ثغرات في خدمة DNS في هذا الدورة، وتشكل جزءًا من 30 ثغرة أمنية (CVE) تصنفها ZDI على أنها قابلة للاستغلال في إنشاء فيروسات متنقلة. وفي معظم الشبكات، تعمل خدمة DNS Server على وحدات التحكم بالمجال، لذا فإن هذه الثغرة تقع في نفس نطاق ثغرة LDAP المذكورة أعلاه — مما يعني أنه يمكن معالجة كلتا الثغرتين خلال فترة صيانة واحدة.

كيف يستغل المهاجمون هذه الثغرة

• أرسل حزمة بيانات مُعدة بعناية إلى أي خادم DNS يعمل بنظام Windows يمكن الوصول إليه.
• يتم التنفيذ في سياق خدمة DNS؛ وعلى خادم نطاق (DC) موجود على نفس النظام، مما يشكل مسارًا مباشرًا لاختراق المجال.

ما الذي يجب الانتباه إليه

• خوادم DNS التي تشترك في مضيف مع Active Directory — قم بإجراء جرد قبل تحديد موعد، وليس أثناء ذلك.
• يمكن الوصول إلى نظام DNS الخاص بـ Windows من شبكات VLAN الخاصة بالمستخدمين، أو نطاقات الوصول عن بُعد، أو الإنترنت.
• أما الثلاثة ثغرات الأمنية الأخرى المتعلقة بنظام أسماء النطاقات (DNS) الواردة في هذا الإصدار، فيجب إصلاحها كوحدة واحدة.

إرشادات التخفيف

• دمج ذلك مع تصحيح LDAP في نافذة صيانة واحدة لمركز البيانات. وجود نسختين من الإصدار 9.8 على نفس المضيف يبرر تقديم موعد النافذة.
• لا يُعد «الاستخدام الداخلي فقط» إجراءً وقائيًّا عندما يكون نقطة الدخول الأولية جهاز كمبيوتر محمول تم الاستيلاء عليه عن طريق التصيد الاحتيالي.
• تحقق من حالة الخدمة بعد تطبيق التحديث التجميعي — فوجود أربعة إصلاحات لنظام أسماء النطاقات (DNS) في دورة واحدة يمثل مساحة تراجع أكبر من المعتاد.

CVE-2026-119952 — Windows Schannel، تنفيذ التعليمات البرمجية عن بُعد

حرج · CVSS 8.1 · احتمال الاستغلال مرتفع · AV:N / PR:N / UI:N · لم يتم استغلالها بعد

Schannel هو تطبيق بروتوكول TLS في نظام ويندوز — وهو يعمل في الخلفية خلف أي عملية تنهي اتصالاً مشفراً. وقد حصل على درجة أقل من الثغرات المذكورة أعلاه، لكنه أحد التصنيفات القليلة جدًّا التي حملت تصنيف «احتمال الاستغلال أعلى» في هذا الإصدار، وهو ما تعني به مايكروسوفت أنها تشير إلى المصدر الذي تتوقع أن تأتي منه عملية الاستغلال التالية.

كيف يستغل المهاجمون هذه الثغرة

• الوصول إلى أي خدمة تستخدم بروتوكول TLS عبر Schannel — IIS، RDP، LDAPS، SMB عبر TLS.
• يتم تنفيذها أثناء عملية المصافحة، قبل الوصول إلى مرحلة المصادقة.

ما الذي يجب الانتباه إليه

• كل خدمة Windows متصلة بالإنترنت تقوم بإنهاء اتصال TLS. نطاق التأثير أوسع مما قد يوحي به اسم أي منتج بمفرده.
• تتراكم أخطاء Schannel أو حالات فشل المصافحة في سجلات أحداث النظام.

إرشادات التخفيف

• أعطِ تقييم مايكروسوفت المذكور أعلاه وزنًا أكبر من 8.1. فعبارة «احتمال الاستغلال أكبر» هي حكم استشرافي؛ أما نظام CVSS فهو وصف ثابت.
• أجهزة إنهاء TLS المتصلة بالإنترنت أولاً، ثم الأجهزة الداخلية.
• لا توجد حلول بديلة للتكوين — لا يمكن تعطيل Schannel. التحديث هو وسيلة التحكم.

الإصدارات الصادرة عن أطراف ثالثة

أين يحدث الاستغلال فعليًّا. فقد جاءت 42 من أصل 43 ثغرة أمنية (CVE) تم التأكد من استغلالها خلال هذه الفترة من خارج شركة مايكروسوفت. وتعد تسع منها أجهزة طرفية أو محيطية.

PHP وبلو ألتو

php2shell · EPSS 0.9999 · تم استغلالها

يُعد كل من CVE-2026-109618 و CVE-2026-109619 ثغرتين تسمحان بتنفيذ التعليمات عن بُعد (RCE) دون مصادقة في نواة PHP نفسها، وقد تم الكشف عنهما في 21 أكتوبر. أحدهما يتسبب في إتلاف الذاكرة أثناء تنظيف الطلبات بعد حدوث حالة نفاد الذاكرة؛ والآخر يعيد استخدام حالة طلب قديمة على عامل معاد تدويره. وهما يؤثران على كل تثبيت لـ PHP يخدم طلبات الويب — PHP-FPM، mod_php، php-cgi، FrankenPHP، LiteSpeed — مع كون mod_php هو الأسوأ، لأن الاستغلال يحدث قبل تشغيل كود التطبيق. تم إصلاح هذه الثغرات في إصدارات PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35.

سجل جهاز «MadPot» التابع لشركة أمازون محاولة استغلال في 17 أكتوبر، أي قبل أربعة أيام من الكشف عن الخلل، وفي الوقت الذي كان لا يزال خاضعًا للحظر. قام المهاجمون بربطها بثغرة في النواة تسمح بتصعيد الصلاحيات تُعرف باسم «Fragnesia» لنشر برامج «root web shells» على واجهات إدارة جدار الحماية من Palo Alto؛ وقد اكتشفت شركة Dream Research ما لا يقل عن 25 واجهة تم اختراقها. وصرحت Palo Alto: «لا يتطلب الأمر أي تكوين خاص للتأثر بهذه الثغرة». ووفقًا لموقع SecurityWeek، استخدم المهاجمون المساعدة من الذكاء الاصطناعي لبناء سلسلة الهجوم.

إيفانتي

اتصل بـ Secure · السلسلة مغلقة · تم استغلاله

أشار التقرير الموجز الصادر في أكتوبر إلى وجود رابط غير مُصَحَّح في سلسلة «Connect Secure ». وقد تم إغلاقه الآن. تم إصدار CVE-2026-111357 (CVSS 8.8، عدم وجود مصادقة في خدمة صيانة الجذر dsinvoked) و CVE-2026-118527 (4.3، معرّفات قابلة للتنبؤ تتيح التنافس على التحميل) في 29 أكتوبر في الإصدارين 25.1.1.3 و 22.8R2.6. وقد أُدرجت كلتا الثغرتين في نظام KEV في 30 أكتوبر؛ والموعد النهائي للثغرة 118527 هو 13 نوفمبر — أي بعد يومين.

تستحق تفاصيل Volexity حول UTA0576 القراءة: فقد قامت المرحلة المسماة «dsinvoked» بتشغيل حمولة برمجية بلغة Python قامت بتعديل مكتبة موجودة في الذاكرة مؤقتًا، وأعادت توجيه مهمة صيانة لتنفيذها بصلاحيات الجذر، ثم أعادت التكوين الأصلي وحالة الذاكرة إلى ما كانت عليه. لم تكن هناك واجهة ويب (web shell) ولا باب خلفي دائم — فقد تم تمرير الأوامر عبر طلبات HTTPS متكررة. وأسفرت مرحلة ما بعد الاستغلال عن استخراج كلمات مرور المسؤول في نظام LAPS الخاص بـ Windows ومفاتيح استعادة BitLocker. وكان الجهاز المخترق قد تم تحديثه بالكامل في ذلك الوقت. «إن نتيجة فحص السلامة السليمة وحدها لا تستبعد احتمال الاختراق.»

أدوبي

110 ثغرة أمنية (CVE) · 9 نشرات · حرجة

"Adobe Connect" هو العنوان الرئيسي — APSB26-191، 24 ثغرة أمنية (CVE)، منها 18 ثغرة خطيرة، تصل درجة خطورتها إلى 10.0 على مقياس CVSS ويمكن الوصول إليها عبر الشبكة دون مصادقة ودون تدخل من المستخدم. تصف ZDI هذا النشرة بأنها أكبر وأخطر نشرة صادرة عن Adobe هذا الشهر. ويضيف Experience Manager (APSB26-189) 14 ثغرة أخرى، منها أربع ثغرات بدرجة خطورة 9.9 لا تتطلب سوى حساب ذي امتيازات منخفضة.

هذان النعيمان فقط يندرجان ضمن الأولوية 2؛ أما النشرات السبع المتبقية فهي من الأولوية 3. لم يتم استغلال أي ثغرة في مجموعة تحديثات Adobe لهذا الشهر — لكن الثغرة CVE-2026-48356، وهي ثغرة تسمح بتحميل الملفات دون قيود في Commerce وMagento، أُدرجت في قاعدة بيانات KEV في 27 أكتوبر بمؤشر خطورة (EPSS) قدره 0.475. وهذا هو الشهر الثالث على التوالي يتم فيه تأكيد استغلال ثغرة في Adobe Commerce.

SAP

43 ملاحظة · 12 خبرًا ساخنًا · هام

تصف شركة Onapsis هذا العدد بأنه رقم قياسي: 43 مذكرة أمان جديدة ومحدثة، و12 خبر عاجل (HotNews)، وأربع ثغرات وفقًا لنظام CVSS 10.0، وجميعها لا تتطلب مصادقة. اثنتان منهما هما ثنائي إتلاف الذاكرة ICM2SHELL — CVE-2026-76964 (NetWeaver AS ABAP) و CVE-2026-89126 (Web Dispatcher و HANA XSA). أما CVE-2026-89103 فهي ثغرة PROXYGATE، وهي خلل في التحكم في الوصول في SAP Gateway، وCVE-2026-120017 هي ثغرة تتعلق بانعدام المصادقة في مزود خدمة NetWeaver SAML2.

فخان تشغيليان. يحتاج PROXYGATE إلى تغيير يدوي لمعلمات الملف الشخصي بعد تثبيت التصحيح — فالتحديث وحده لا يؤدي إلى إغلاقه. كما أن SAP لا توصي صراحةً باستخدام الحل البديل المتمثل في تعطيل WebSocket للتصدي لـ ICM2SHELL. وقد سلم الباحثون شركة SAP ثغرات قابلة للاستغلال؛ ولم يتم الإبلاغ عن أي استغلال فعلي لهذه الثغرة حتى الآن.

أجهزة Edge

سيتريكس · سونيكوول · باراكودا · تم استغلالها

باراكودا هي أحدث الثغرات: CVE-2026-116606 (تجاوز المصادقة) و CVE-2026-111560 (حقن أوامر نظام التشغيل) مرتبطتان بشكل صريح، وتؤكد باراكودا وقوع هجمات على «عدد قليل من المؤسسات»، وقد نشرت watchTowr كود الاستغلال، ومن المقرر الكشف عنهما في 13 نوفمبر.

تسمح ثغرة SonicWall CVE-2026-19868 (7.1) للمستخدم الذي يمتلك بيانات اعتماد صالحة غير تابعة لـ SAML بتجاوز المصادقة متعددة العوامل (MFA) المفروضة بواسطة SAML على شبكة SSL-VPN. لا توجد حلول مؤقتة؛ الإصلاحات هي 7.3.4-7013 و8.2.3-8015، ومن المقرر إصدارها في 20 نوفمبر. أصدرت Citrix CVE-2026-107406 (CVSS 9.5، NetScaler المُهيأ لـ SAML) في 8 أكتوبر، بالإضافة إلى حزمة تصحيحات منفصلة لـ php2shell في الإصدارات 14.1-73.49 / 13.1-64.32 والتي تتضمن أيضًا التصحيحات الخاصة بشهري سبتمبر وأكتوبر.

موزيلا فايرفوكس

160 · 99 ثغرة أمنية (CVE) · لا يوجد استغلال

تم إصدار Firefox 160 (MFSA 2026-125) في يوم «Patch Tuesday» مع 99 ثغرة أمنية (CVE) — 57 منها ذات خطورة عالية، و24 متوسطة، و18 منخفضة، ولا توجد ثغرات ذات خطورة حرجة. كما تم إصدار ESR 115.45 و153.7 جنبًا إلى جنب، بالإضافة إلى ثندربيرد 160 و153.7. ويُعد وجود 99 ثغرة أمنية في إصدار واحد من المتصفح رقمًا يفوق بكثير المعدل التاريخي لموزيلا، ويتوافق مع نفس نمط الحجم الذي تتبعه مايكروسوفت، على الرغم من أن موزيلا لم تنسب ذلك علنًا إلى الاكتشاف بمساعدة الذكاء الاصطناعي.

آبل

ثغرة أمنية (CVE) من عام 2024، تم استغلالها الآن · تم استغلالها

أصدرت شركة آبل في 9 نوفمبر تحديثات لنظامي iOS وiPadOS بالإصدارات 27.2.1 و26.7.3 و18.7.12، بالإضافة إلى ثلاثة فروع لنظام macOS. ويُعد وجود ثلاثة فروع متزامنة لنظام iOS في حد ذاته مؤشراً — لي نيلي من SANS: «أنتبه عندما تصدر آبل تصحيحات لأكثر من إصدارين».

أما الحالة الأكثر إثارة للاهتمام فهي أقدم. فقد أُدرجت الثغرة CVE-2024-27834 — وهي ثغرة في نظام مصادقة المؤشرات (Pointer Authentication) بدرجة خطورة CVSS 5.5 قامت شركة آبل بإصلاحها في مايو 2024 — في قاعدة بيانات KEV في 4 نوفمبر. وتُعزو Sekoia استغلال هذه الثغرة إلى APT29 / Midnight Blizzard، وتم تنفيذها عبر مواقع شرعية تم اختراقها واختراق سلسلة التوريد الخاصة بأداة تتبع تحسين محركات البحث (SEO) Plerdy، في سلسلة هجمات لا تتطلب النقر تنتهي ببرنامج لسرقة ملفات تعريف الارتباط. ثغرة أمنية متوسطة الخطورة عمرها سنتان ونصف، تم تسليحها من قبل جهة حكومية.

ماذا يعني ذلك بالنسبة لك إذا كنت تقوم بالشحن Software

النمط الذي يميز هذا الشهر ليس حجم الأحداث. بل هو أن الحدثين الأكثر أهمية — اكتشاف الثغرة الوحيدة التي تم استغلالها في «مايكروسوفت»، واختراق جدران الحماية الخاصة بشركة «بالو ألتو» — تضمن كلاهما استخدام الذكاء الاصطناعي، ولكن في طرفين متعارضين، في غضون ثلاثة أسابيع من بعضهما البعض. فقد استخدمه أحد الباحثين لاكتشاف ثغرة كانت قيد الاستغلال بالفعل، بينما استخدمه أحد المهاجمين لبناء سلسلة هجمات تمكنت من الاستيلاء على أجهزة الإنتاج.

والأمر الذي تسبب فعليًّا في اختراق أنظمة المستخدمين هو لغة PHP: وهي عنصر تابع، وليست منتجًا بحد ذاته. إن معرفة ما يحتويه منتجك وما يوجد على نقاط النهاية الخاصة بك قبل ظهور ثغرة CVE هو جوهر الموضوع. وهذه هي السلسلة التي ترسمها لوحة معلومات الكشف والتصحيح من OESIS: أي تطبيق مُثبَّت، وما هي ثغرات CVE التي يحملها، وما إذا كان هناك تصحيح متاح حتى الآن.

مصفوفة الأولويات

أربعة مستويات، الأكثر خطورة أولاً. يتم تحديد المستوى بناءً على مدى التعرض والاستغلال، وليس وفقًا لمقياس CVSS — ولهذا السبب يأتي التقييم 6.5 في المقدمة بينما يحتل التقييم 10.0 المرتبة الأخيرة. تم حصر النطاق في البرامج التي تستخدمها معظم المؤسسات فعليًّا؛ وتغطي مجموعة البيانات الكاملة جميع الثغرات الأمنية المعروفة (CVE) البالغ عددها 43 ثغرة التي تم استغلالها فعليًّا، وجميع الموردين المشمولين في الدورة.

P1 — الآن خلال 24 ساعة تم استغلال 19 من أصل 43

تم التأكد من استغلالها في بيئة حقيقية — تمت ملاحظتها، ولم تكن مجرد توقعات. مرتبة حسب الأحدث أولاً: الصفوف العلوية هي ما لم يغطيه الدورة السابقة.

لا تظهر قيم EPSS الخاصة بـ «مايكروسوفت» و«كروم» لأن النموذج لم يقم بتقييمهما عند التقاط هذه اللقطة. أما الثغرات الأمنية الـ 24 المتبقية التي تم استغلالها، فتوجد في خوادم الوسائط، وأجهزة النسخ الاحتياطي، وأدوات المطورين، والدفعة القديمة المؤرخة في 8 أكتوبر؛ ويمكن البحث عن جميع الثغرات الـ 43 في لوحة معلومات CVE الخاصة بـ « OPSWAT ».

P2 — هذا الأسبوع خلال 72 ساعة 12 من 32

نظام ويندوز، غير مصادق عليه، يمكن الوصول إليه عبر الشبكة، دون تدخل من المستخدم. لا يتطلب الأمر النقر على أي شيء حتى تؤثر هذه العوامل على مدى تعرضك للمخاطر. Server الأدوار أولاً — ولاحظ أن كلاً من DNS وLDAP يتم تثبيتهما على وحدات التحكم بالمجال.

لن يتم نشر عمود EPSS هذا الشهر. في وقت إعداد هذه اللمحة السريعة، لم يسجل النموذج سوى 1 من أصل 1,095 ثغرة أمنية من Microsoft CVE — مقارنة بتغطية شبه كاملة في أكتوبر، من عملية تم إجراؤها في نفس الساعة تقريبًا. تصل نتائج EPSS وفقًا لجدولها الزمني الخاص، ويشير العمود المكون من شرطات إلى انخفاض المخاطر بدلاً من عدم وجود بيانات. وبالنسبة للاستغلال المؤكد، لم تكن هذه النتائج أبدًا مؤشرًا صحيحًا للتصنيف على أي حال.

P3 — هذه الدورة في غضون 7 أيام 8 ثغرات أمنية معروفة (CVE)

تعتبر هاتين الحالتين حاسمتين وقابلتين للتنفيذ، لكن كل واحدة منهما تتطلب شرطًا مسبقًا — مثل بيانات اعتماد، أو جلسة عمل مصدقة، أو ملف تم تسليمه. وينبغي إدراج صف «إثبات المفهوم» هنا ضمن فئة «نضج الاستغلال» بغض النظر عن درجته.

P4 — لا إجراء للتوعية فقط 4 ثغرات أمنية معروفة (CVE)

من جانب الخدمة. قامت مايكروسوفت بإصلاح هذه الثغرات في بيئتها الخاصة؛ ولا يتعين على العميل نشر أي شيء. وهي تجري تصنيفًا أوليًا وفقًا لمقياس CVSS كل شهر — وهذا بالضبط هو السبب في إدراجها هنا بدلاً من تركها مما قد يسبب إرباكًا لأي شخص.

خطة الـ72 ساعة

ما لا تخبرك به مصفوفة الأولويات.

ما هي الفعالية التالية في جدول الفعاليات؟

المصادر

نبدأ أولاً بتنبيهات الموردين الرئيسيين.

1. مركز استجابة الأمان في مايكروسوفت، وثيقة CVRF رقم 2026-Nov، المراجعة بتاريخ 11 نوفمبر 2026 — قائمة CVE القياسية، ومؤشرات CVSS المخصصة من مايكروسوفت، والمتجهات الزمنية.
2. فهرس الثغرات الأمنية المعروفة التي تم استغلالها التابع لوكالة الأمن السيبراني والبنية التحتية (CISA) ونظام FIRST EPSS.
3. مبادرة «زيرو داي»، مراجعة التحديث الأمني لشهر نوفمبر 2026.
4. تعالج شركة Tenable، في «يوم التصحيحات» لشهر نوفمبر 2026، 1,093 ثغرة أمنية (CVE)؛ موقع «Krebs on Security»؛ شركة Rapid7.
5. تنبيهات مجموعة PHP بشأن CVE-2026-109618 و CVE-2026-109619؛ أداة تتبع منتج php2shell التابعة لـ NCSC-NL؛ تقرير SecurityWeek حول الاختراقات التي تعرضت لها شركة Palo Alto.
6. Volexity حول UTA0576 وIvanti Connect Secure ؛ تنبيهات الأمان الصادرة عن Ivanti بشأن CVE-2026-111357 وCVE-2026-118527.
7. Onapsis، يوم تحديثات الأمان الخاصة بـ SAP، نوفمبر 2026.
8. نشرات أمان Adobe (APSB26-191 و-189 وغيرها).
9. موزيلا، MFSA 2026-125 (فايرفوكس 160).
10. Citrix CTX697191؛ SonicWall SNWLID-2026-0014؛ تنبيهات Barracuda؛ موقع The Hacker News حول CVE-2024-27834 وAPT29.
11. تقرير «VulnCheck» حول الثغرات الأمنية التي اكتشفتها الذكاء الاصطناعي ومعدلات استغلالها.

المنهجية. عدد العناوين الرئيسية هو عدد الثغرات الأمنية (CVE) التي صنّفتها Microsoft بتصنيف التأثير في سجل CVRF، باستثناء 267 ثغرة أمنية (CVE) أعيد نشرها من قبل أطراف ثالثة. يتم تعيين قيم CVSS ونضج الاستغلال الخاصة بمايكروسوفت من قبل المورد من قاعدة بيانات CVRF؛ أما قيم CVSS الخاصة بأطراف ثالثة فتأتي من NVD أو من المورد في الحالات التي لا تنشر فيها CISA أي قيمة. EPSS هو نموذج تنبؤي ويتم الإبلاغ عنه، ولا يُستخدم أبدًا لتصنيف حالات الاستغلال المؤكدة — وقد سجل هذا الشهر نتيجة واحدة فقط من أصل 1,095 ثغرة أمنية (CVE) خاصة بمايكروسوفت وقت الاستخراج، وهذا هو سبب غيابه عن جداول مايكروسوفت. يقتصر نطاق مصفوفة الأولوية على برامج المؤسسات السائدة؛ وتغطي مجموعة البيانات الأساسية جميع الثغرات الأمنية (CVE) البالغ عددها 43 ثغرة التي تم تأكيد استغلالها بين 8 أكتوبر و10 نوفمبر، وجميع الموردين في الدورة. تعكس حالة الاستغلال تأكيدات CISA KEV والموردين المباشرين، وليس ادعاءات الجهات الخارجية.

البيانات بتاريخ 11 نوفمبر 2026. يتم تحديث CISA KEV و EPSS باستمرار، وتقوم Microsoft بمراجعة CVRF بعد الإصدار — تعكس الأرقام الواردة هنا المراجعة التي تمت في 11 نوفمبر والكتالوج كما كان في صباح ذلك اليوم. إرشادات التخفيف عامة ومستمدة من الخصائص المنشورة لكل ثغرة أمنية؛ وهي لا تحل محل إجراء الاختبارات في بيئتك الخاصة.