🚨 CVE-2026-50656 — مايكروسوفت ديفيندر "RoguePlanet"

ثغرة رفع الصلاحيات في محرك الحماية من البرامج الضارة من مايكروسوفت

⚠️ لأغراض البحث التعليمي والدفاعي فقط

📖 نظرة عامة

CVE-2026-50656 هي ثغرة رفع صلاحيات (EoP) عالية الخطورة تؤثر على محرك الحماية من البرامج الضارة من مايكروسوفت المستخدم في مايكروسوفت ديفيندر.

تنشأ الثغرة، المعروفة علنًا باسم RoguePlanet، من مشكلة غير صحيحة في حل الروابط (CWE-59) قد تسمح لمهاجم محلي بصلاحيات منخفضة برفع صلاحياته على أنظمة ويندوز المتأثرة.

🎯 التأثير

الاستغلال الناجح قد يسمح للمهاجم بـ:

• رفع الصلاحيات من حساب مستخدم عادي
• الحصول على صلاحيات نظام مرتفعة
• الوصول إلى ملفات مقيدة
• تعديل موارد النظام المحمية
• احتمال الوصول إلى اختراق كامل للنظام

🏹 ناقل الهجوم

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

🔬 التفاصيل الفنية

فئة الثغرة

تصنف الثغرة كالتالي:

CWE-59
حل غير صحيح للروابط قبل الوصول إلى الملف
(اتباع الروابط)

تحدث هذه الفئة من الثغرات عندما تتفاعل العمليات المميزة مع كائنات نظام الملفات التي يمكن إعادة توجيهها باستخدام:

• الروابط الرمزية
• الروابط الصلبة
• نقاط الوصل
• نقاط إعادة التحليل

قد يؤدي التحقق غير الصحيح إلى إعادة توجيه العمليات المميزة نحو مواقع يسيطر عليها المهاجم.

⚙️ المكون المتأثر

محرك الحماية من البرامج الضارة من مايكروسوفت
mpengine.dll

يستخدم بواسطة:

• مايكروسوفت ديفيندر لمكافحة الفيروسات
• مايكروسوفت ديفيندر لنقاط النهاية
• مايكروسوفت أساسيات الأمان
• منتجات أمنية أخرى من مايكروسوفت

🧠 تدفق الهجوم

مستخدم بصلاحيات منخفضة
        │
        ▼
إنشاء رابط / نقطة وصل / نقطة إعادة تحليل
        │
        ▼
تشغيل عملية محرك ديفيندر
        │
        ▼
الوصول إلى ملفات بصلاحيات مرتفعة
        │
        ▼
رفع الصلاحيات
        │
        ▼
تأثير على مستوى النظام

🔍 فرص الكشف

سجلات أحداث ويندوز

راقب:

Unexpected privilege escalation events

Defender engine anomalies

Suspicious reparse point creation

Symbolic link abuse

مايكروسوفت ديفيندر XDR

مؤشرات صيد محتملة:

DeviceFileEvents
| where ActionType contains "FileCreated"
| where FileName endswith ".lnk"

مراقبة نقاط إعادة التحليل

PowerShell:

Get-ChildItem -Path C:\ -Recurse -Force |
Where-Object {
    $_.Attributes -match "ReparsePoint"
}

🛡️ التخفيف

حتى يتم نشر التحديثات الأمنية الرسمية:

تقييد الوصول المحلي

تقليل عدد المستخدمين الذين لديهم قدرة تسجيل الدخول المحلي.

تحصين نقاط النهاية

• تفعيل حماية العبث
• تفعيل EDR
• تفعيل قواعد تقليل سطح الهجوم

مراقبة نشاط نظام الملفات

راقب:

• إنشاء نقاط الوصل
• إنشاء الروابط الرمزية
• تعديلات نقاط إعادة التحليل

تطبيق تصحيحات البائع

قم بتثبيت التحديثات الأمنية من مايكروسوفت فور إصدارها.

🧪 قائمة التحقق من التحقق

🔥 نمذجة التهديدات

تعيين ATT&CK

📊 تقييم المخاطر

🚨 مؤشرات النشاط المشبوه

نشاط غير معتاد لديفيندر

mpengine.dll
MsMpEng.exe

وصول غير متوقع إلى:

C:\Windows\System32\

إساءة استخدام نقاط الوصل / إعادة التحليل

dir /AL /S

الروابط الرمزية

dir /A:L

📚 المراجع

• مركز استجابة الأمان من مايكروسوفت (MSRC)
• برنامج CVE
• MITRE ATT&CK
• وثائق مايكروسوفت ديفيندر

⚠️ إخلاء مسؤولية

تم توفير هذا المستودع من أجل:

• الوعي الأمني
• إدارة الثغرات
• أبحاث الفريق الأزرق
• عمليات الأمن الدفاعية

ليس مخصصًا للوصول غير المصرح به أو الاستغلال أو الأنشطة الهجومية.