فرض إصدار Adobe Acrobat/Reader عبر Intune Proactive Remediation (CVE-2026-34621)

يحتوي هذا المستودع على نصوص Proactive Remediation الخاصة بـ Microsoft Intune لتقليل التعرض لثغرات Adobe Acrobat/Reader من خلال:

1. فرض حد أدنى للإصدار المُصَحَّح (اكتشاف الإصدارات القديمة وإزالتها).
2. تقليل سطح الهجوم فورًا عن طريق تعطيل JavaScript في Acrobat/Reader عبر مفاتيح نهج التسجيل.

يمكن استخدام هذه الضوابط معًا:

• تخفيف قصير المدى: تعطيل JavaScript لتقليل المخاطر فورًا.
• إصلاح طويل المدى: فرض الإصدارات المُصَحَّحة (وإزالة التثبيتات القديمة).

---

لماذا يوجد هذا (السياق الأمني)

أصدرت Adobe تحديثًا أمنيًا لـ Acrobat وReader يعالج CVE‑2026‑34621، والذي أكدت Adobe أنه يُستغل في البرية، ويمكن أن يؤدي إلى تنفيذ تعليمات برمجية عشوائية. الإصدار المُصَحَّح لمسار Acrobat/Reader DC Continuous هو 26.001.21411. 1

في البيئات المُدارة، لا يكفي توفر أحدث مثبّت — فقد تظل الأجهزة تعمل بإصدارات أقدم. يساعد هذا المستودع في ضمان عدم بقاء الإصدارات الضعيفة مثبتة ويتيح تخفيفًا إضافيًا (تعطيل JavaScript) لتقليل التعرض فورًا.

---

المحتويات

أ) فرض الإصدار (اكتشاف الإصدارات القديمة / إزالة القديمة)

• Detect-AdobeAcrobat.ps1
• Remediate-AdobeAcrobat.ps1

ب) تخفيف فوري (تعطيل JavaScript في Acrobat/Reader DC)

• DetectionJavaScript.ps1
• RemediateJavaScript.ps1

---

أ) نصوص فرض الإصدار

1) الاكتشاف: Detect-AdobeAcrobat.ps1

الغرض: اكتشاف تثبيتات Adobe Acrobat الأقل من حد أدنى محدد للإصدار.

السلوك:

• يفحص كلا خليتي التسجيل لإلغاء التثبيت (64-bit و32-bit):
  • HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
  • HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall
• يطابق المنتجات التي يكون فيها DisplayName مشابهًا لـ Adobe Acrobat*
• يقارن DisplayVersion مع:
  • الحد الأدنى للإصدار: 26.001.21411 (البناء المُصَحَّح لـ CVE‑2026‑34621) 1

رموز الخروج:

• 0 = متوافق (غير موجود أو الإصدار >= الحد الأدنى)
• 1 = غير متوافق (موجود بإصدار أقل)

2) المعالجة: Remediate-AdobeAcrobat.ps1

الغرض: إزالة تثبيتات Adobe Acrobat الموجودة على الجهاز (Reader/Pro/Standard).

السلوك:

• يبحث عن إدخالات Adobe Acrobat* في كلتا خليتي التسجيل لإلغاء التثبيت
• يستخرج GUID منتج MSI عبر:
  • regex الخاص بـ UninstallString / QuietUninstallString (مُفضَّل)
  • بديل: اسم مفتاح التسجيل
• ينفذ:
  • msiexec /x {GUID} /q /norestart
• يتعامل مع 3010 (إعادة تشغيل مطلوبة) كنجاح

رموز الخروج:

• 0 = اكتملت المعالجة بنجاح
• 1 = اكتملت المعالجة مع أخطاء

ملاحظة: تزيل هذه المعالجة Acrobat. تأكد أيضًا من نشر الإصدار المُصَحَّح (أو الإصدار المدعوم المفضل) عبر عملية نشر تطبيقات Intune القياسية لديك.

---

ب) نصوص التخفيف الفوري (تعطيل JavaScript)

يمكن أن يؤدي تعطيل JavaScript في Acrobat/Reader إلى تقليل التعرض لحمولات PDF الضارة التي تعتمد على تنفيذ JavaScript. هذا الإجراء مخصص كإجراء سريع لتقليل المخاطر أثناء نشر التصحيحات.

1) الاكتشاف: DetectionJavaScript.ps1

الغرض: التحقق من تعطيل JavaScript لكل من Adobe Reader DC وAdobe Acrobat DC.

مفاتيح التسجيل التي يتم فحصها:

• HKLM\SOFTWARE\Policies\Adobe\Acrobat Reader\DC\FeatureLockDown\bDisableJavaScript
• HKLM\SOFTWARE\Policies\Adobe\Adobe Acrobat\DC\FeatureLockDown\bDisableJavaScript

القيمة المتوقعة:

• bDisableJavaScript = 1

رموز الخروج:

• 0 = متوافق (كلا المفتاحين موجودان ومضبوطان على 1)
• 1 = غير متوافق (مفتاح مفقود و/أو غير مضبوط على 1)

2) المعالجة: RemediateJavaScript.ps1

الغرض: فرض تعطيل JavaScript لكل من Reader وAcrobat DC عن طريق تعيين قيم نهج التسجيل.

السلوك:

• ينشئ مسار(ات) التسجيل إذا كانت مفقودة
• يعيّن:
  • bDisableJavaScript (DWORD) = 1
• يخرج برمز 1 عند أي خطأ؛ وإلا 0

---

إعداد Intune الموصى به

الخيار 1 (موصى به): استخدام كلا المعالجتين

1. حزمة التخفيف: تعطيل JavaScript (تقليل سريع لسطح الهجوم)
2. حزمة فرض التصحيح: فرض الإصدار (إزالة التثبيتات القديمة/الضعيفة)

يمنحك هذا الأسلوب تحصينًا فوريًا بينما تضمن نشر الإصدار المُصَحَّح في كل مكان.

نصائح التكوين

• قم بتشغيل النصوص كمستخدم System (موصى به).
• ابدأ بتردد أعلى أثناء الاستجابة للحوادث (مثل كل 1–4 ساعات)، ثم قلّله.

---

ملاحظات تشغيلية / التأثير

قد يؤثر تعطيل JavaScript على الوظائف

قد تعتمد بعض ملفات PDF أو سير العمل المؤسسي (النماذج، المحتوى الديناميكي، البرامج النصية المضمنة) على JavaScript. تحقق مع مجموعات المستخدمين الرئيسية قبل النشر الواسع.

تتطلب معالجة إلغاء التثبيت GUID MSI

إذا تم تثبيت Acrobat عبر طرق غير MSI، فقد يفشل الإزالة المستندة إلى GUID ويتطلب استراتيجية إلغاء تثبيت مختلفة.

---

المراجع

• نشرة Adobe الأمنية: APSB26‑43 – تحديث Acrobat/Reader لإصلاح CVE‑2026‑34621 (تم إصلاحه في 26.001.21411) 1

---

الترخيص

هذا المشروع مرخص بموجب رخصة MIT — يمكنك استخدامه وتعديله وتوزيعه بحرية.

إخلاء مسؤولية
يحتوي هذا المستودع على نصوص عامة وأفضل الممارسات العامة. لا يرتبط بأي صاحب عمل أو عميل حالي أو سابق. أُنشئ لأغراض تعليمية ومجتمعية فقط.