CVE-2026-56158 — استغلال إثبات المفهوم (PoC) لتنفيذ التعليمات البرمجية عن بُعد (RCE) في .NET Framework

حرجة (CVSS 9.8) — إلغاء تسلسل البيانات غير الموثوقة (CWE-502) في Microsoft .NET Framework ووقت تشغيل .NET تم التصحيح: 14 يوليو 2026 | منسوبة إلى: Positive Technologies (PT-2026-60174)

---

جدول المحتويات

• نظرة عامة
• تفاصيل الثغرة
• الإصدارات المتأثرة
• نواقل الهجوم
• بنية الاستغلال
• بنية الملفات
• التثبيت
• الاستخدام خطوة بخطوة
• الاختبار
• الاكتشاف والتحصين
• التخفيف
• المراجع
• إخلاء المسؤولية
• الترخيص

---

نظرة عامة

CVE-2026-56158 هي ثغرة حرجة لتنفيذ التعليمات البرمجية عن بُعد في Microsoft .NET Framework ووقت تشغيل .NET. يكمن الخلل في الإلغاء غير الآمن لتسلسل البيانات غير الموثوقة (CWE-502) — عندما يستخدم تطبيق .NET أدوات التسلسل القديمة (BinaryFormatter, NetDataContractSerializer, SoapFormatter, ObjectStateFormatter) أو Json.NET مع خيار TypeNameHandling.All/Auto، يمكن لمهاجم بعيد غير مصادق تسليم حمولة متسلسلة مصمّمة خصيصًا تؤدي إلى تنفيذ تعليمات برمجية عشوائية عند إلغاء التسلسل.

تحمل الثغرة درجة أساسية 9.8 حرجة وفق معيار CVSS 3.1 مع المتجه AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H، مما يعني:

• متجه الهجوم: شبكة (لا حاجة لوصول مادي)
• تعقيد الهجوم: منخفض
• الصلاحيات المطلوبة: لا شيء
• تفاعل المستخدم: لا شيء
• الأثر: اختراق كامل للسرية والنزاهة والتوافر

أصدرت Microsoft تحديثات أمنية في 14 يوليو 2026 ضمن دورة Patch Tuesday الشهرية.

---

تفاصيل الثغرة

الحقل	القيمة
معرف CVE	CVE-2026-56158
العنوان	ثغرة تنفيذ التعليمات البرمجية عن بُعد في .NET Framework
CVSS 3.1	9.8 حرجة (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
CVSS 2.0	7.5 عالية (AV:N/AC:L/Au:N/C:P/I:P/A:P)
CWE	CWE-502 (إلغاء تسلسل البيانات غير الموثوقة)
تاريخ النشر	14 يوليو 2026
تاريخ التصحيح	14 يوليو 2026
الجهة المكتشفة	Positive Technologies (PT-2026-60174)
EPSS	لم يتم تقييمها بعد
CISA KEV	غير مدرجة

السبب الجذري

أدوات التسلسل القديمة في وقت تشغيل .NET تعيد بناء أنواع كائنات عشوائية من التدفقات المتسلسلة دون التحقق من النوع أو المحتوى. عندما يتحكم المهاجم في الإدخال المتسلسل، يمكنه توجيه أداة إلغاء التسلسل لإنشاء أنواع غير متوقعة تتيح منشئاتها أو استدعاءاتها العكسية أو واضعات خصائصها تنفيذ تعليمات برمجية عشوائية — هجوم سلسلة أدوات (gadget chain) كلاسيكي لإلغاء التسلسل.

تؤثر الثغرة على عدة آليات تسلسل:

1. BinaryFormatter — تدفق ثنائي مع بيانات وصفية للنوع؛ سلسلة أدوات TypeConfuseDelegate تفوّض إلى Process.Start
2. NetDataContractSerializer — تنسيق XML يتضمن معلومات أنواع .NET؛ يسمح بإنشاء أنواع مباشرة
3. SoapFormatter — غلاف XML بنمط SOAP مع مراجع أنواع CLR؛ ProcessStartInfo مضمّن في جسم SOAP
4. ObjectStateFormatter — تنسيق ثنائي لـ ASP.NET ViewState؛ Process.Start عبر حقل ViewState
5. Json.NET (Newtonsoft.Json) — JSON مع بيانات وصفية $type عند تفعيل TypeNameHandling.All/Auto؛ أداة ObjectDataProvider تستدعي Process.Start

---

الإصدارات المتأثرة

المنتج	النطاق المتأثر	الإصدار المُصحَّح	مقالة KB
.NET 8.0	8.0.0 – 8.0.28	8.0.29	KB5100998
.NET 9.0	9.0.0 – 9.0.17	9.0.18	KB5100998
.NET 10.0	10.0.0 – 10.0.9	10.0.10	KB5101001
.NET Framework 3.5	كل ما قبل التصحيح	تم التصحيح	KB5100985
.NET Framework 4.6.2–4.7.2	كل ما قبل التصحيح	تم التصحيح	KB5100991
.NET Framework 4.8	كل ما قبل التصحيح	تم التصحيح	KB5101011
.NET Framework 4.8.1	كل ما قبل التصحيح	تم التصحيح	KB5101002
Visual Studio 2022 (17.12)	ما قبل التصحيح	17.12.x	—
Visual Studio 2022 (17.14)	ما قبل التصحيح	17.14.x	—
Visual Studio 2026 (18.7)	ما قبل التصحيح	18.7.x	—

حزم Alpine Linux:

• dotnet8-runtime < 8.0.29-r0
• dotnet9-runtime < 9.0.18-r0
• dotnet10-runtime < 10.0.10-r0

---

نواقل الهجوم

ينشئ هذا الاستغلال (PoC) الحمولات ويوصلها عبر 5 تنسيقات مختلفة لهجمات إلغاء التسلسل:

1. BinaryFormatter (أداة TypeConfuseDelegate)

Serialized Stream → BinaryFormatter.Deserialize() → TypeConfuseDelegate
  → Process.Start("cmd.exe", "/c calc.exe") → RCE

• التنسيق: ثنائي (تدفق .NET متسلسل)
• Content-Type: application/octet-stream
• التوصيل: نص طلب HTTP POST، ملف
• الأداة: ActivitySurrogateSelector+ObjectSurrogate → TypeConfuseDelegate → Process.Start

2. NetDataContractSerializer

XML with type info → NetDataContractSerializer.ReadObject()
  → ProcessStartInfo instantiation → Process.Start → RCE

• التنسيق: XML مع معلومات أنواع .NET مضمّنة
• Content-Type: application/octet-stream أو text/xml
• التوصيل: نص طلب HTTP POST، نقطة نهاية WCF

3. SoapFormatter

SOAP envelope → SoapFormatter.Deserialize()
  → ProcessStartInfo in SOAP body → Process.Start → RCE

• التنسيق: غلاف SOAP XML مع مراجع أنواع CLR
• Content-Type: text/xml
• التوصيل: نقطة نهاية SOAP عبر WCF/ASMX

4. ObjectStateFormatter (ViewState)

ViewState binary → ObjectStateFormatter.Deserialize()
  → Process.Start via ViewState field → RCE

• التنسيق: ثنائي (تنسيق ASP.NET ViewState)
• Content-Type: application/octet-stream
• التوصيل: حقل __VIEWSTATE في طلب HTTP POST

5. Json.NET (خيار TypeNameHandling.All)

JSON with $type → JsonConvert.DeserializeObject<T>(json, TypeNameHandling.All)
  → ObjectDataProvider.MethodName = "Start" → Process.Start → RCE

• التنسيق: JSON مع بيانات وصفية $type
• Content-Type: application/json
• التوصيل: نقطة نهاية REST API مع خيار TypeNameHandling.All أو Auto

---

بنية الاستغلال

┌─────────────────────────────────────────────────────────────────────┐
│                         exploit.py                                   │
├─────────────────────────────────────────────────────────────────────┤
│                                                                      │
│  ┌──────────────┐   ┌───────────────┐   ┌───────────────────────┐  │
│  │ PayloadGen   │   │ PayloadDeliv  │   │ VulnerabilityScanner  │  │
│  │              │   │               │   │                       │  │
│  │ • BinaryFmt  │   │ • HTTP POST   │   │ • HTTP header check   │  │
│  │ • NetData    │──▶│ • SOAP/WCF   │──▶│ • Endpoint discovery  │  │
│  │ • SoapFmt    │   │ • JSON API    │   │ • ViewState analysis  │  │
│  │ • ObjectState│   │ • File save   │   │ • Version detection   │  │
│  │ • Json.NET   │   │               │   │                       │  │
│  └──────────────┘   └───────────────┘   └───────────────────────┘  │
│         │                   │                      │                 │
│         └───────────────────┼──────────────────────┘                 │
│                             ▼                                        │
│  ┌──────────────┐   ┌──────────────────────────────────────────┐   │
│  │ PayloadList  │   │ Report Generator (JSON)                   │   │
│  │ (Mock .NET)  │   │ • CVE metadata, CVSS, CWE                │   │
│  │              │   │ • Payload hashes (SHA-256)               │   │
│  │ Simulates    │   │ • Delivery results                       │   │
│  │ vulnerable   │   │ • RCE confirmation                       │   │
│  │ deserialization│ │ • References                             │   │
│  └──────────────┘   └──────────────────────────────────────────┘   │
│                                                                      │
└─────────────────────────────────────────────────────────────────────┘

تدفق الهجوم