كشفت شركة Microsoft في أغسطس 2026 عن ثغرة أمنية في SharePoint Server حملت الرمز CVE-2026-65660، وصنفتها مبدئياً كخلل في الخداع (Spoofing) بدرجة خطورة متوسطة (CVSS 6.5). لكن التفاصيل التقنية التي نشرها الباحث دين هو آنه كوا من Viettel Cyber Security أوضحت أن الثغرة تتيح في الواقع تنفيذ أوامر عن بُعد (RCE) للمهاجمين المصرح لهم، ما رفع تقييمها إلى 8.8 في قاعدة بيانات الثغرات الوطنية (NVD).
الثغرة تكمن في آلية التحقق من قائمة SafeControls التي تمنع تحميل الفئات الخطرة. عند معالجة مكون ToolPane للـ Web-Part Markup، يتم إعادة بناء توجيهات Register عبر إدخال القيم بين علامات اقتباس مزدوجة دون معالجة الاقتباسات الداخلية، مما يسمح بحقن توجيهات إضافية وتحميل فئات .NET عشوائية.
استغلال الثغرة وسيناريوهات الهجوم
بمجرد تحميل الفئات العشوائية، يمكن للمهاجم استخدام XamlServices.Parse() لتشغيل أوامر عبر Deserialization، وهو ما أتاح للباحث بناء WebShell داخل الذاكرة لتجاوز قيود السجل. الأخطر أن الثغرة يمكن ربطها بخلل آخر في المصادقة (تم إصلاحه في يونيو 2026) للوصول إلى تنفيذ أوامر قبل تسجيل الدخول (Pre-Auth RCE) على الخوادم التي تسمح بالوصول المجهول.
السياق التاريخي والارتباطات
الباحث كوا سبق أن عرض سلسلة استغلال ToolShell ضد SharePoint في مسابقة Pwn2Own Berlin 2025، والتي استغلتها لاحقاً مجموعات مدعومة من الصين وأدت إلى تحديثات طارئة من مايكروسوفت. كما كشف عن ثغرات أخرى مثل CVE-2026-55040 الخاصة بتجاوز المصادقة، والتي استُغلت فور نشر تفاصيلها.
حالة الاستغلال والإصلاح
حتى الآن، لم تُسجل حالات استغلال لهذه الثغرة في الهجمات الواقعية، ولم تُدرج في قائمة الثغرات المستغلة فعلياً لدى CISA. مايكروسوفت وصفت الاستغلال بأنه “غير محتمل”، لكن نشر تفاصيل الاستغلال الكامل يرفع مستوى المخاطر. التحديث الأمني الصادر في 11 أغسطس 2026 يعالج الثغرة ويعطل الوظيفة الضعيفة افتراضياً. الباحث أشار أيضاً إلى أن SharePoint 2013 متأثر، رغم أن مايكروسوفت لم تذكره في تحذيرها، وهو إصدار انتهى دعمه منذ أبريل 2023 ولا يتلقى تحديثات أمنية.
