CISA يحذر من استغلال ثلاث ثغرات نشطة في Microsoft SharePoint على الخوادم المحلية وتبعاتها
أصدرت هيئة الأمن السيبراني تحذيراً يوضح أن ثلاث ثغرات في Microsoft SharePoint تُستغل بنشاط ضمن هجمات حقيقية تستهدف الخوادم المحلية. وتؤكد التحذيرات أن المهاجمين يتمكنون من الدخول إلى الأنظمة المعرضة قبل أن تتمكن المؤسسات من الرد على الهجمات.
الثغرات المتأثرة ومدى تأثيرها
الثغرات المعنية مُرقَّمة كالتالي: CVE-2026-32201 وCVE-2026-45659 وCVE-2026-56164. وتؤثر هذه الدفعة من الثغرات على جميع إصدارات SharePoint Server المحلية المدعومة، بما فيها Subscription Edition وSharePoint Server 2019 وSharePoint Server 2016.
تشير التحذيرات إلى أن المهاجمين يمكنهم ربط هذه الثغرات معاً لتحقيق تنفيذ تعليمات عن بُعد، وهو ما يمهّد لتقدمهم داخل البيئات المصابة.
نشاط ما بعد الاستغلال وعمليات الاختراق
تم رصد أنشطة ما بعد الاختراق تتضمن سرقة مفاتيح IIS واستخدام تقنيات تسلسلية (deserialization) للمحافظة على وجودهم، إضافة إلى نشر برامج ضارة حال الوصول إلى الأنظمة المستهدفة.
ثغرات إضافية ومخاطرها
كما أشارت الوكالة إلى ثغرتين إضافيتين هما CVE-2026-55040 وCVE-2026-58644. بالرغم من عدم رصد هجمات نشطة حتى الآن لهذه الثغرتين، إلا أن Microsoft تعتبرهما خطورتين في حال تُركتا دون تصحيح.
إجراءات عاجلة لتعزيز الأمان
تشدد الإرشادات على ضرورة تطبيق أحدث التحديثات الأمنية من مايكروسوفت فوراً والتأكد من أن التصحيحات قد تم تطبيقها بنجاح. كما يوصى بتمكين تكامل AMSI في الوضع الكامل، ومراجعة اكتشافات Microsoft Defender والتحقيق في أي إنذارات تشير إلى احتمال استغلال ثغرات.
إلى جانب التصحيح، تقترح التوجيهات تعزيز وضع SharePoint من خلال: ح hunt للمخالفة قبل تدوير مفاتيح IIS، تفعيل تسجيلات أكثر تفصيلاً، منع تعرُّض الخوادم للإنترنت مباشرة، تقييد الوصول إلى SharePoint Central Administration، ووضع الخوادم المتاحة من الإنترنت خلف proxy عكسي من الطبقة 7 مع مصادقة. كما أُدرجت الثغرات الثلاث ضمن كتالوج Known Exploited Vulnerabilities لإثبات جدية الخطر. بالنسبة لمنشآت SharePoint المحلية، قد يؤدي التأخير في التنفيذ إلى زيادة مخاطر الاختراق.
هذا التحديث الأمني يسلط الضوء على ضرورة رصد مستمر وتحديثات فورية لتعزيز الدفاعات قبل انتشار الهجمات بشكل أوسع.
