أعلنت وكالة الأمن السيبراني وحماية البنية التحتية الأميركية (CISA) يوم الخميس عن إدراج ثغرة جديدة في Microsoft SharePoint Server إلى قائمة الثغرات المستغلة فعليًا (Known Exploited Vulnerabilities – KEV). الثغرة تحمل الرمز CVE-2026-58644 وحصلت على تقييم خطورة 9.8 وفق مقياس CVSS، وهي ناتجة عن مشكلة في إلغاء تسلسل بيانات غير موثوقة (Deserialization of Untrusted Data)، ما يتيح للمهاجمين غير المصرح لهم تنفيذ أوامر عشوائية عن بُعد. مايكروسوفت أوضحت أن أي مهاجم مصادق بحد أدنى صلاحيات Site Owner يمكنه حقن وتنفيذ أوامر على الخادم، مع تأكيد أن التعقيد منخفض وأن الهجوم قابل للتكرار بسهولة.
الإصدارات المتأثرة
تشمل الثغرة الإصدارات التالية:
- SharePoint Server Subscription Edition
- SharePoint Server 2019
- SharePoint Enterprise Server 2016
التحديثات الأمنية أُصدرت ضمن Patch Tuesday في 14 يوليو 2026، لكن مايكروسوفت أكدت لاحقًا أن الثغرة كانت مستغلة بالفعل قبل الإصلاح، ما يجعلها Zero-Day.
نشاط الاستغلال والتحذيرات
أشارت CISA إلى أن الثغرة جزء من سلسلة استغلالات نشطة تستهدف خوادم SharePoint، وتشمل أيضًا:
- CVE-2026-32201
- CVE-2026-45659
- CVE-2026-56164
- CVE-2026-58644
هذه الثغرات تتيح للمهاجمين تنفيذ أوامر عن بُعد (RCE) والقيام بأنشطة لاحقة مثل سرقة مفاتيح IIS machine keys واستخدام تقنيات إلغاء التسلسل لتحقيق الاستمرارية وزرع برمجيات خبيثة.
إجراءات الحماية الموصى بها
أوصت CISA المؤسسات بتطبيق مجموعة من التدابير الوقائية:
- تثبيت أحدث التحديثات والتحقق من نجاحها وتقليص دورات التحديث قدر الإمكان.
- تفعيل تكامل AMSI لكل تطبيق ويب.
- فحص وإزالة الأدوات الخبيثة قبل تدوير مفاتيح IIS.
- إعداد آليات تسجيل مخصصة لرصد محاولات الاستغلال.
- تجنب تعريض الخوادم مباشرة للإنترنت إلا عند الضرورة.
- حجب الوصول الخارجي إلى إدارة SharePoint المركزية، وتقييد الاتصالات الداخلية، ومراجعة إرشادات مايكروسوفت الخاصة بتأمين المنافذ والخدمات وإعدادات Web.config.
إلى جانب ذلك، أضافت الوكالة ثغرتين خطيرتين في Fortinet FortiSandbox (CVE-2026-25089 وCVE-2026-39808) إلى قائمة KEV بعد تقارير عن استغلال نشط، مع إلزام الوكالات الفيدرالية بتطبيق الإصلاحات قبل 19 يوليو 2026.
