🔨 CVE-2026-33825: BlueHammer

Microsoft Defender Elevation of Privilege

📌 نظرة عامة

الثغرة CVE-2026-33825، الملقبة بـ "BlueHammer"، هي خلل حرج في تصعيد الامتيازات المحلية (EoP) في محرك معالجة التهديدات في Microsoft Defender.

🚨 الأثر الحرج: تسمح لمستخدم بامتيازات دنيا بالحصول على وصول كامل بمستوى SYSTEM على أنظمة Windows 10 و11 المحدثة بالكامل.

الاكتشاف: تم الكشف عنها علنًا كثغرة Zero-Day في 7 أبريل 2026 بواسطة باحث تحت الاسم المستعار "Chaotic Eclipse"، قبل أن يصدر Microsoft تصحيحًا رسميًا.

📊 تفاصيل الخطورة (CVSS v3.1)

🔍 التحليل الفني: هجوم BlueHammer

تعتمد الثغرة على حالة سباق TOCTOU (Time-of-Check to Time-of-Use) داخل محرك تنظيف البرامج الضارة في Defender.

تدفق الاستغلال:

1️⃣ التفعيل
   └─ يضع المهاجم ملفًا يكتشفه Defender كبرنامج ضار

2️⃣ الإيقاف المؤقت (Oplock)
   └─ بينما يبدأ Defender المعالجة (الحذف أو العزل)،
      يستخدم الاستغلال قفلًا انتهازيًا (oplock) من NTFS
      لإيقاف العملية مؤقتًا عند نقطة حرجة

3️⃣ إعادة التوجيه
   └─ أثناء الإيقاف المؤقت، ينشئ الاستغلال نقطة junction
      من NTFS تعيد توجيه مسار Defender نحو ملفات النظام
      الحرجة (مثل C:\Windows\System32)

4️⃣ التنفيذ
   └─ عند تحرير القفل، يقوم Defender (بامتيازات SYSTEM) بالكتابة
      أو إعادة الكتابة فوق ملفات في الموقع المعاد توجيهه
   └─ النتيجة: استبدال الملفات الثنائية الشرعية بكود خبيث
                 أو استخراج ملفات حساسة (SAM، كلمات المرور)

💻 الأنظمة والمكونات المتأثرة

🛠️ المعالجة والتخفيف

صححت Microsoft هذه الثغرة في Patch Tuesday لأبريل 2026.

✅ 1. التحديث التلقائي

على عكس التصحيحات الأخرى، عادةً ما يتم تطبيق تحديثات Microsoft Defender تلقائيًا عبر منصة التوقيعات.

الإجراء الموصى به:

• تحقق من أن إصدار منصتك هو ≥ 4.18.26050.3011
• فعّل التحديثات التلقائية لـ Defender

✅ 2. التحقق الأمني

• راجع دليل تحديثات الأمان من Microsoft لتأكيد حالة نظامك
• استخدم ماسحات الثغرات مثل Nessus (Plugin ID: 306740) لتحديد الأجهزة غير المحدثة في شبكتك
• نفّذ عمليات تدقيق دورية لإصدارات Defender في بنيتك التحتية

🔗 المراجع والموارد

• 📄 تحليل فني مفصل — Picus Security
• 🚨 إنذار مبكر — INCIBE-CERT
• 📋 ملخص تصحيحات أبريل 2026 — SecurityWeek
• 🔐 دليل تحديثات الأمان — Microsoft Official

⚖️ إخلاء المسؤولية

⚠️ هذا المستند لأغراض تعليمية وبحوث أمنية فقط.

لا تقم أبدًا بتشغيل استغلالات على أنظمة دون إذن صريح.

الاستخدام غير المصرح به لتقنيات الاستغلال غير قانوني وقد يؤدي إلى عواقب قانونية خطيرة.

آخر تحديث: أبريل 2026 | الحالة: تم التصحيح ✅