CVE-2026-42978
وحدة إشعارات Windows Push لأداة الأمن بالذكاء الاصطناعي

منظومة أمنية بالذكاء الاصطناعي من الجيل التالي، طرفية متعددة البروتوكولات ومجموعة وكلاء مستقلين

الموقع الإلكتروني · وثائق المنتج · التطبيق المضيف · دردشة المجتمع

التنقل في الموقع: الرئيسية · التحديثات · التنزيلات · الوحدات

التطبيق المضيف الرسمي

المنتج: AI Security Tool
الموقع: zerodayevil.github.io
الوثائق: https://zerodayevil.github.io/ai-security-tool

هذه الوحدة عبارة عن تحليل مُراجَع وملف فحص آمن لأداة AI Security Tool.
استخدم فقط الوحدات المدرجة على موقع المشروع أو في الكتالوج الرسمي. حمّل هذه الوحدة داخل التطبيق المعتمد، ضد نقاط النهاية التي تملكها أو لديك تفويض كتابي لتقييمها.

هذا المستودع لا يتضمن استغلالاً مسلحاً ضد WpnService. المختبر الموجود تحت lab/ هو محاكاة مستقلة لـفئة الخلل (TOCTOU / double-fetch). وهو لا يتواصل مع خدمة الإشعارات الفعلية.

البدء السريع والتثبيت

ثبّت التطبيق المضيف أولاً. ثم فعّل هذه الوحدة من Modules → Windows / Local EoP → CVE-2026-42978.

إصدارات جاهزة للاستخدام

المصادر الرسمية فقط:

• https://zerodayevil.github.io/
• https://zerodayevil.github.io/ai-security-tool
• https://github.com/ZeroDayEvil/ai-security-tool

نظرة مفاهيمية عامة

CVE-2026-42978 هو رفع صلاحيات محلي في إشعارات Windows Push. تصفه Microsoft بالوصول المتزامن إلى مورد مشترك دون مزامنة مناسبة (CWE-362). يُظهر البحث على wpncore.dll المُرقَّع مقابل غير المُرقَّع وجود سباق use-after-free في PresentationEndpointFacade أثناء إيقاف تشغيل النظام الأساسي.

يعمل WpnService في الجلسة 0 بصلاحية NT AUTHORITY\SYSTEM (svchost.exe -k netsvcs -p). يمر عبره تسليم الإشعارات المنبثقة والبلاطات والشارات. الفوز بالسباق ضد تلك العملية يمثل مشكلة SYSTEM على الجهاز المحلي — وليس ثغرة بعيدة قبل المصادقة على وحدة تحكم المجال.

الحالة: تم الترقيع في 10 يونيو 2026 (Patch Tuesday). هذه الصفحة بحث دفاعي.

وهي ليست CVE-2026-41089 (Netlogon RCE). مكوّن مختلف، ونموذج صلاحيات مختلف، وتاريخ ترقيع مختلف.

المواصفات

النطاق

إصدارات العميل والخادم التي تتضمن Push Notifications. تحقق من KB الدقيق على MSRC قبل إغلاق أي تذكرة.

إصدارات إرشادية من ملاحظات الخدمة العامة (تحقق دائماً من MSRC مجدداً):

السبب الجذري (البحث)

تُغلّف الواجهة (facade) استدعاءات واجهة برمجة الإشعارات وتفوّض إلى PresentationEndpointImpl. أثناء إيقاف تشغيل النظام الأساسي يتم تدمير كائن NotificationPlatform. تاريخياً، كانت عدة طرق في الواجهة تأخذ مؤشر النظام الأساسي دون علم إيقاف أو قفل مشترك. إذا فاز الإنهاء بالسباق، يستخدم الاستدعاء التالي مؤشراً معلّقاً.

تم تطبيق نفس نمط القفل والحماية عبر 49 طريقة من PresentationEndpointFacade::*. تُركت طرق التنفيذ تحتها كما هي — كانت الثغرة في الواجهة.

الشكل غير المُرقَّع (wpncore.dll 26100.8521)

// PresentationEndpointFacade::ToastUnblockAll — unpatched
long ToastUnblockAll(PresentationEndpointFacade *this) {
    NotificationPlatformHandle::Get(this + 0x50);
    if (platform == NULL)
        Throw_Hr(...);
    return PresentationEndpointImpl::UnblockToastsForEachApp(...);
}

الشكل المُرقَّع (wpncore.dll 26100.8655)

// PresentationEndpointFacade::ToastUnblockAll — patched
long ToastUnblockAll(PresentationEndpointFacade *this) {
    if (Feature_4097557817::IsEnabled()) {
        AcquireSRWLockShared(&Wns::s_platformLock);
        if (Wns::s_platformShutdown)
            Throw_Hr(E_APPLICATION_EXITING);
        NotificationPlatformHandle::Get(this + 0x50);
        ReleaseSRWLockShared(&Wns::s_platformLock);
    }
}

ما يضيفه الترقيع:

1. AcquireSRWLockShared — قفل قارئ-كاتب؛ الإيقاف يأخذ الحصري.
2. s_platformShutdown — الخروج بـ E_APPLICATION_EXITING إذا بدأ الإنهاء.
3. تحرير RAII عبر WIL unique_storage، بحيث يُحرَّر القفل على مسارات الاستثناء.
4. علم الميزة Feature_4097557817 للنشر التدريجي / التراجع.

حجم فرق الملف الثنائي

ملاحظات PE من reports/:

• نما .text بمقدار 18,432 بايت
• نما .data بمقدار 96 بايت (Wns::s_platformLock، Wns::s_platformShutdown)
• لا توجد واردات جديدة — كانت واجهات قفل SRW موجودة بالفعل
• مُدمِّر RAII جديد لتحرير القفل الحصري

التأثير

WpnService يعمل بصلاحية SYSTEM. إذا فاز السباق، يمكن تحويل استدعاء vtable معلّق إلى تنفيذ كود SYSTEM محلي. تلك الخطوة — heap spray، اختطاف vtable، الحمولة — خارج النطاق هنا.

هذه الوحدة مخصصة لإلمام السبب الجذري، والتحقق من الترقيع، والكشف.

استخدام هذه الوحدة داخل AI Security Tool

1. ثبّت بناءً رسمياً حديثاً من zerodayevil.github.io.
2. افتح Modules → CVE-2026-42978.
3. وجّه الفحص نحو نقاط نهاية Windows المُصرَّح بها.
4. تعامل مع النتيجة على أنها وجود الترقيع / وضع WPN، وليس "إطلاق السباق".
5. اختيارياً اجمع حزمة الكشف (detection/) على جهاز مختبر.

لا تشغّل حلقات انهيار أو سباق ضد WpnService في الإنتاج.

authorized operator
        │
        ▼
 AI Security Tool  →  module 42978
        │
        ▼
 authorized Windows endpoint
        │
        ├─ patch / wpncore.dll age
        └─ SIEM / Sysmon / Event Log notes

مختبر TOCTOU (خدمة محاكاة فقط)

lab/ هو عرض توضيحي مستقل بلغة C لـ double-fetch / TOCTOU. يستخدم أنبوباً مسمّى وذاكرة مشتركة. وهو لا يحمّل wpncore.dll ولا يبدأ أو يوقف WpnService.

• vulnerable_service.exe — يتحقق من طول، ينام، يقرأ الطول مرة أخرى.
• race_attacker.exe — يقلب القيمة المشتركة خلال تلك النافذة.
• --patched — جلب واحد إلى متغير محلي؛ يجب أن يرى نفس المهاجم صفر سباقات.

يتطلب GCC (MinGW). من داخل lab/:

build.bat

الطرفية 1: vulnerable_service.exe
الطرفية 2: race_attacker.exe 5
ثم قارن مع vulnerable_service.exe --patched.

الكشف واصطياد التهديدات

مراقب ETW — detection/etw_wpn_monitor.ps1

سبعة فحوصات:

1. حالة WpnService ومعرّف العملية
2. سجل الانهيار / إعادة التشغيل
3. اندفاع سجل أحداث Push Notifications Platform
4. الأنابيب المسمّاة المرتبطة بـ WPN
5. تلميح الترقيع (تاريخ / بناء wpncore.dll)
6. العمليات التي حمّلت وحدات WPN
7. تدقيق Junction / symlink تحت مسارات بيانات الإشعارات

powershell -ExecutionPolicy Bypass .\detection\etw_wpn_monitor.ps1

Sysmon — detection/sysmon_wpn_race_detect.xml

sysmon64.exe -accepteula -i detection\sysmon_wpn_race_detect.xml

عارض الأحداث

القناة: Microsoft-Windows-PushNotifications-Platform/Operational

• الحدث 1225 — أوامر WPN على مستوى النقل
• معدل الاندفاع (مثلاً >20/دقيقة) — يستحق النظر، وليس إدانة
• خطأ / حرج — انهيار محتمل من محاولة فاشلة

قائمة التخفيف

• تحديث يونيو 2026 التراكمي على كل إصدار داخل النطاق
• بناء wpncore.dll يطابق الصف المُرقَّع لذلك الفرع
• EDR / Sysmon على محطات العمل وأجهزة العبور، وليس على وحدات التحكم فقط
• التنبيه عند إنشاء svchost -k netsvcs لصدفة أوامر
• أرشفة نتيجة وحدة التطبيق المضيف مع جرد الإصلاحات

إذا أشار etw_wpn_monitor.ps1 إلى عدم الترقيع — ثبّت تحديث يونيو 2026 وأعد الفحص.

ثغرات ذات صلة (مجموعة WPN ليونيو 2026)

هيكل المستودع

CVE-2026-42978/
├── README.md
├── LICENSE
├── lab/
│   ├── vulnerable_service.c
│   ├── race_attacker.c
│   └── build.bat
├── detection/
│   ├── etw_wpn_monitor.ps1
│   └── sysmon_wpn_race_detect.xml
└── reports/
    ├── PE_DIFF_REPORT.txt
    └── FUNCTION_DIFF_REPORT.txt

المتطلبات: Windows 10/11 لنصوص الكشف · MinGW لمختبر المحاكاة · Sysmon اختياري.

لقطات الشاشة في هذا README تُحمَّل من روابط صور عامة. وهي غير مخزّنة في هذه الشجرة.

المراجع

• MSRC — CVE-2026-42978
• سجل CVE
• BDU:2026-08249

كتالوج وحدات الأمان

المساهمة والمجتمع

الأعمال المفيدة:

1. الحقائق — إصدارات MSRC، الثغرات الشقيقة في مجموعة WPN ليونيو.
2. الكشف — Sigma، ETW أفضل، توصيات ASR.
3. بيانات التطبيق المضيف والترجمات.
4. الوثائق وإصلاح الروابط المعطوبة.

لا تفتح PR يضيف استغلالاً مسلحاً لـ WpnService، أو مساعد heap-spray، أو PoC استغلال ضد الخدمة الفعلية.

التواصل والدعم

• الموقع الإلكتروني: zerodayevil.github.io
• وثائق المنتج: zerodayevil.github.io/ai-security-tool
• مشرف Telegram: @ZeroDayEvil
• دردشة Telegram: @ZeroDyaTool_chat
• قناة Telegram: @ZeroDyaTool_channel
• Open Collective: opencollective.com/ZeroDayEvil

الترخيص والشؤون القانونية

صدر تحت MIT License. انظر LICENSE.

للبحث الدفاعي المُصرَّح به وإدارة الأنظمة فقط.
اختبار رفع الصلاحيات المحلي دون تفويض كتابي غير قانوني.

الثغرة مُرقَّعة. حافظ على تحديث Windows. لا يتضمن هذا المستودع استغلالاً مسلحاً ضد الخدمة الفعلية.

AI Security Tool — سير عمل الطرفية والأتمتة لمتخصصي الأمن السيبراني.

_{وحدة دفاعية لـ zerodayevil.github.io · لا يوجد استغلال مستقل لـ WpnService · تحقق من الحقائق على MSRC}