أكدت CISA يوم الاثنين أن عصابات برامج الفدية بدأت في استغلال ثغرة أمنية عالية الخطورة لتصعيد امتيازات Microsoft Defender والتي تم إساءة استخدامها سابقًا في هجمات اليوم صفر.
الثغرة الأمنية، المعروفة باسم BlueHammer (CVE-2026-33825)، تم تسريبها في أوائل أبريل من قبل باحث أمني يُعرف باسم Nightmare Eclipse. جاء هذا التسريب، الذي شمل كود استغلال إثبات المفهوم، احتجاجاً على طريقة تعامل مركز الاستجابة الأمنية لـ Microsoft (MSRC) مع عملية الكشف.
أوضحت مايكروسوفت في استشارة أمنية أن الثغرة تكمن في ضعف دقة التحكم بالوصول في Microsoft Defender، مما يسمح لمهاجم مصرح له بتصعيد الامتيازات محلياً.
صرح ويل دورمان، محلل الثغرات الرئيسي في Tharos، لموقع BleepingComputer في أبريل أنه على الرغم من أنه ليس من السهل استغلال المشكلة، إلا أنها تمنح المهاجمين المحليين إمكانية الوصول إلى قاعدة بيانات مدير حساب الأمان (SAM)، والتي تحتوي على تجزئات كلمة المرور للحسابات المحلية.
ومن خلال هذا الوصول، يمكنهم التصعيد إلى امتيازات النظام وربما السيطرة الكاملة على النظام المستهدف.
وهذا يمنح المهاجمين سيطرة كاملة على النظام، مما يمكنهم من تنفيذ عمليات حرجة مثل إنشاء غلاف خاص بالنظام، كما أشار دورمان.
قامت مايكروسوفت بتصحيح هذه الثغرة الأمنية في 14 أبريل، ضمن تحديثات ‘تصحيح يوم الثلاثاء’ لشهر أبريل 2026. ومع ذلك، بعد أيام قليلة، كشف باحثون أمنيون من Huntress Labs أن جهات التهديد استغلتها بالفعل كثغرة ‘يوم الصفر’ في هجمات أظهرت نشاطاً يدوياً مباشراً من الفاعلين.
على مدار الأشهر القليلة الماضية، كشف Nightmare Eclipse عن العديد من عمليات استغلال Windows Zero-day الأخرى، بما في ذلك:
- روج بلانيت
- ريد صن
- البلازما الخضراء
- ميني بلازما
- المفتاح الأصفر
- عيوب إلغاء الدفاع
تؤثر بعض هذه الثغرات الأمنية على Microsoft Defender، بينما تستهدف أخرى مكونات BitLocker وWindows.
قامت مايكروسوفت بإصلاح الثغرات الأمنية في GreenPlasma وMiniPlasma وYellowKey قبل ثلاثة أسابيع، ضمن تحديثات ‘تصحيح يوم الثلاثاء’ لشهر يونيو 2026.
تم تصنيفها على أنها مستغلة من قبل عصابات برامج الفدية
أضافت CISA عيب BlueHammer إلى كتالوج الثغرات الأمنية المستغلة المعروفة (KEV) في 22 أبريل. وقد أمرت الوكالة فيدراليات الفرع التنفيذي المدني (FCEB) بتصحيح أجهزتها التي تعمل بنظام Windows ضد هجمات CVE-2026-33825 المستمرة في غضون أسبوعين، أي بحلول 7 مايو.
حذرت وكالة الأمن السيبراني الأمريكية في ذلك الوقت من أن هذا النوع من الثغرات الأمنية يمثل ناقلاً متكرراً للهجمات الخبيثة ويشكل مخاطر كبيرة على المؤسسات الفيدرالية.
في حين أن Microsoft لم تحدد بعد هذا الخلل الأمني على أنه تم استغلاله في الهجمات، فقد قامت CISA أيضًا بوضع علامة عليه على أنه مستغل في حملات برامج الفدية في تحديث يوم الإثنين لكتالوج KEV الخاص بها.
في السنوات الأخيرة، أدرجت CISA ثماني ثغرات أمنية في Microsoft Defender ضمن الثغرات المستغلة في الهجمات، وتم استهداف اثنتين منها أيضاً من قبل عصابات برامج الفدية.
يؤكد استغلال ثغرة BlueHammer من قبل عصابات برامج الفدية على الضرورة القصوى لتطبيق التحديثات الأمنية بانتظام واليقظة المستمرة ضد التهديدات السيبرانية المتطورة. يجب على المؤسسات والأفراد على حد سواء أخذ تحذيرات CISA على محمل الجد لضمان حماية أنظمتهم.