مايكروسوفت وأدوبي ترصدان مئات الثغرات الأمنية

أصدرت شركتا مايكروسوفت وأدوبي بشكل منفصل نشرات وتحديثات أمنية بشأن ثغرات في أنظمتهما قد تسمح بتنفيذ أوامر برمجية، أو رفع الصلاحيات، أو تعطيل الخدمات. 

وأحصى تقرير تقني لشركة مايكروسوفت، 1411 ثغرة، بينها 677 لرفع الصلاحيات و317 لتنفيذ التعليمات البرمجية عن بُعد و254 لكشف المعلومات، وأصدرت الشركة تحديثات أمنية لمعالجتها.

ووصفت مايكروسوفت 70 ثغرة بالـ"حرجة"، مؤكدة أن ثلاث ثغرات كانت معروفة قبل توفير إصلاح رسمي لها.

وبحسب التقرير تُستخدم إحدى الثغرات الثلاث في هجمات بالفعل، بينما لم يُرصد استغلال الثغرتين الأخريين، لافتًا إلى أن إحدى الثغرات المستغلة تتعلق بوظيفة في ويندوز مسؤولة عن التعامل مع الملفات والأوامر، إذ تسمح بتجاوز علامة الأمان التي يضعها النظام على الملفات القادمة من الإنترنت، وتساعد هذه العلامة في تشغيل تحذيرات قبل فتح ملفات أو برامج غير موثوقة؛ وقد يؤدي تجاوزها إلى تقليل التنبيهات التي يراها الشخص مع ملف ضار.

ورغم تأكيد نشرة مايكروسوفت وجود استغلال فعلي لهذه الثغرات، لكنها لم تحدد عدد المتضررين أو هوية منفذي الهجمات، ولا يعني الإعلان عن هذه الثغرات أن كل جهاز يعمل بنظام ويندوز يتضمن جميع هذه الثغرات إذ يتوقف التأثر على إصدار النظام والبرامج المثبتة والخدمات المفعلة وطريقة استخدام الجهاز.

ونشرت مايكروسوفت طريقة تجريبية تجمع الثغرات المتشابهة في مجموعات مخاطر، لمساعدة مسؤولي الأمن على تحديد الإصلاحات الأكثر إلحاحًا بحسب أنظمتهم، وأوضحت أن هذه المجموعات ليست تصنيفًا رسميًا جديدًا، ولا تحل محل تقييم كل ثغرة على حدة أو توصيات التحديث المعتادة.

وأوصت الشركة المستخدمين بتحديث أجهزتهم عبر فتح إعدادات ويندوز والانتقال إلى قسم Windows Update للبحث عن التحديثات وتثبيتها وإعادة تشغيل الجهاز عند الحاجة، وأيضًا تحديث برامج أوفيس والبرامج الأخرى المثبتة، وتجنب فتح الملفات غير المتوقعة حتى عندما يبدو اسم المرسل مألوفًا. وأن تختبر الشركات الإصلاحات المناسبة لأجهزتها ثم نشرها دون تأخير غير مبرر، خصوصًا على الأنظمة المعرضة للاتصال الخارجي.

ومن جانبها، أصدرت شركة أدوبي، 11 نشرة أمنية لمعالجة نحو 176 ثغرة في منتجات تشمل فوتوشوب وأدوبي كوميرس وكولد فيوجن وإكسبيرينس مانجر وبرامج التصميم ثلاثي الأبعاد، وهي الثغرات التي قد تسمح بتنفيذ أوامر برمجية، أو رفع الصلاحيات، أو تعطيل الخدمات، بحسب سيكيوريتي ويك.

وأكدت الشركة أنها لم ترصد استغلالًا فعليًا للثغرات التي شملتها هذه الحزمة حتى إصدار النشرات، لكنها طلبت من العملاء تثبيت الإصلاحات المناسبة.

وتبرز خطورة بعض الثغرات في البرامج التي تعمل على الخوادم وتدير مواقع أو متاجر إلكترونية، فقد أصلحت أدوبي 32 ثغرة في ColdFusion، وهو برنامج يُستعمل لإنشاء تطبيقات ويب وتشغيلها.

وتضمنت المشكلات ثغرات حرجة قد تتيح تشغيل أوامر على خادم ضعيف دون حساب مسبق، وقد منحت أدوبي إحدى هذه الثغرات تقييمًا يبلغ عشر درجات من عشر، وهي الدرجة القصوى في مقياس الخطورة المستخدم.

وتوضح النشرة الأمنية أن الإصلاحات تشمل إصداري 2023 و2025، مع توصية بترقية كل إصدار إلى نسخته المصححة. وتتطلب حماية هذه الخدمات التأكد من توافق الإصلاح مع الخادم ثم تثبيته سريعًا.

وشملت الحزمة أيضًا 11 ثغرة في Adobe Commerce، المستخدم لإدارة المتاجر الإلكترونية، بينها مشكلات قد تسمح بتنفيذ شيفرات أو تعديل ملفات ورفع الصلاحيات.

وتنصح أدوبي المستخدمين والمؤسسات بتثبيت التحديثات وفق المنتج والإصدار المتأثر، مع اهتمام خاص بالخوادم المتاحة عبر الإنترنت والمتاجر الإلكترونية.

ونشرت الشركة تعليمات إضافية للتجار تتضمن تطبيق الإصلاح السابق وتدوير مفاتيح التشفير وبيانات الدخول المرتبطة بها. وحتى مع غياب تقارير عن استغلال الثغرات الجديدة وقت الإعلان، فإن استمرار تشغيل الإصدارات القديمة يترك مشكلات معروفة دون معالجة.