CISA: عصابات الفدية تستغل ثغرة Task Host الحرجة في Windows

مقدمة تحليلية

أعلنت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) في 18 أغسطس 2026 أن عصابات الفدية تستغل بنشاط ثغرة CVE-2025-60710، وهي عيب خطير في مكون Task Host بنظام Windows. هذه الثغرة، التي صنفتها CISA على أنها مستغلة فعلياً منذ أبريل 2026، تسمح للمهاجمين المحليين الذين يمتلكون صلاحيات مستخدم أساسية بتصعيد وصولهم إلى صلاحيات SYSTEM، مما يمنحهم سيطرة كاملة على الأجهزة غير المحدثة. يستهدف هذا الخلل تحديداً أنظمة التشغيل Windows 11 و Windows Server 2025، ويُعد تصعيد الصلاحيات هذا نقطة دخول حاسمة للمجموعات الإجرامية في شن هجمات الفدية المتقدمة التي تهدد استقرار البنية التحتية الرقمية للمؤسسات. تشير البيانات إلى أن هذه الفئة من الثغرات تمثل ناقل هجوم متكرر للخلايا التخريبية، مع ما يترتب عليها من مخاطر جسيمة على المنظمات الفيدرالية والخاصة على حد سواء.

التحليل التقني

تكمن خطورة CVE-2025-60710 في استهدافها لـ Task Host، وهو مكون أساسي في نظام Windows مسؤول عن تنفيذ العمليات المستندة إلى DLL في الخلفية وضمان إغلاقها بشكل صحيح لمنع تلف البيانات أثناء إيقاف التشغيل. تم تصحيح هذه الثغرة الأمنية من قبل Microsoft في نوفمبر 2025، وهي تصنيف لتصعيد الامتيازات (privilege escalation) تنبع من ضعف Link Following، والذي يُعرف أيضاً بـ CWE-59. يسمح هذا الضعف للمهاجمين بالتلاعب بمسارات الملفات التي يفترض النظام أنها موثوقة، مما يؤدي إلى تنفيذ تعليمات برمجية بصلاحيات أعلى. بمجرد استغلالها بنجاح، يستطيع المهاجمون المحليون، الذين يمتلكون أدنى مستوى من صلاحيات المستخدم، الارتقاء إلى مستوى صلاحيات SYSTEM، وهي أعلى صلاحية ممكنة على نظام التشغيل، تمكنهم من السيطرة المطلقة على الجهاز المصاب.

• معرف الثغرة: CVE-2025-60710
• المكون المستهدف: Windows Task Host
• نوع الثغرة: تصعيد الامتيازات (Privilege Escalation)
• السبب الجذري: ضعف Link Following (CWE-59)
• الأنظمة المتأثرة: Windows 11 و Windows Server 2025
• تاريخ التصحيح: نوفمبر 2025 بواسطة Microsoft
• تاريخ إضافة CISA إلى KEV: 13 أبريل 2026
• تاريخ تحديث CISA بخصوص الفدية: 18 أغسطس 2026

أضافت CISA الثغرة CVE-2025-60710 إلى قائمتها للثغرات المستغلة المعروفة (Known Exploited Vulnerabilities Catalog - KEV) في 13 أبريل 2026، وأمهلت وكالات الفرع التنفيذي المدني الفيدرالي (FCEB) أسبوعين لتأمين أنظمتها. ورغم عدم تحديث Microsoft لإرشاداتها الأمنية لتأكيد الاستغلال الفعلي بواسطة عصابات الفدية، فقد أكد متحدث باسم Microsoft لـ BleepingComputer أن الشركة عالجت CVE-2025-60710 في تحديثها الأمني الصادر في نوفمبر 2025، وأوصى العملاء بتطبيق التحديث للبقاء محميين، مشيراً إلى أن العملاء الذين طبقوا التحديث محميون ولا يحتاجون إلى اتخاذ إجراءات إضافية. ومع ذلك، فإن تحديث CISA الأخير في 18 أغسطس 2026، يؤكد أن هذه الثغرة لم تعد مجرد تهديد نظري بل هي جزء من ترسانة هجمات الفدية النشطة.

السياق وتأثير السوق

يأتي استغلال ثغرة Task Host في سياق مقلق لأنماط الهجوم المتزايدة التي تستهدف منتجات Microsoft. قبل أسبوع واحد فقط من هذا الإعلان، حذرت CISA من أن عصابات الفدية قد بدأت أيضاً في استغلال ثغرة تنفيذ التعليمات البرمجية عن بعد (RCE) في Microsoft SharePoint، المُتعقبة باسم CVE-2026-45659، بعد تأكيد استغلالها النشط في أوائل يوليو. هذا النمط يشير إلى أن الثغرات المكتشفة في منتجات Microsoft تتحول بسرعة إلى أدوات هجومية فعالة بأيدي الجهات الخبيثة.

تُظهر بيانات CISA الشاملة أن هذا الوضع ليس استثناءً، فمنذ نوفمبر 2021، أدرجت الوكالة 383 ثغرة أمنية في منتجات Microsoft ضمن قائمة الثغرات المستغلة بنشاط (KEV). ومن بين هذه الثغرات، تم استغلال 112 ثغرة على وجه التحديد في هجمات الفدية، مما يؤكد أن منتجات Microsoft لا تزال هدفاً رئيسياً وناقلاً متكرراً لتهديدات الفدية. تحذير CISA بأن هذا النوع من الثغرات يمثل «ناقل هجوم متكرر للمخربين السيبرانيين ويشكل مخاطر كبيرة على المؤسسات الفيدرالية» ليس مجرد بيان روتيني، بل هو تأكيد مدعوم بالبيانات. يُطلب من وكالات FCEB تطبيق التخفيفات وفقاً لتعليمات البائعين، واتباع إرشادات BOD 22-01 المطبقة للخدمات السحابية، أو وقف استخدام المنتج إذا كانت التخفيفات غير متاحة، وهي خطوة جذرية تسلط الضوء على خطورة الوضع وضرورة اتخاذ إجراءات فورية ضد مخاطر الامتيازات التصعيدية التي تمنح الفدية موطئ قدم.

رؤية Glitch4Techs

إن تأكيد CISA بأن عصابات الفدية تستغل CVE-2025-60710 ليس مفاجأة، بل هو استنتاج حتمي لنمط متكرر ومُوثق. فشل المؤسسات في تطبيق التصحيحات الأمنية الصادرة في نوفمبر 2025، حتى بعد 9 أشهر من توفرها وتصنيف CISA لها كـ "مستغلة بنشاط" في أبريل 2026، يعكس إهمالاً فادحاً في إدارة المخاطر. لا يمثل هذا إخفاقاً فردياً، بل هو جزء من إحصائية مقلقة؛ فقد تم استغلال 112 من أصل 383 ثغرة أمنية في منتجات Microsoft، المُدرجة في قائمة CISA للثغرات المستغلة المعروفة منذ نوفمبر 2021، في هجمات الفدية. هذه النسبة البالغة 29% تقريباً تؤكد أن الثغرات في بيئة Microsoft تتحول بشكل روتيني إلى أسلحة هجومية بمجرد الكشف عنها.

إن الاعتماد على التصحيحات المتأخرة أو الفشل في تطبيقها فوراً لا يؤدي إلا إلى تمكين الجهات الخبيثة من استغلال نقاط ضعف معروفة وموثقة، مما يجعل تكرار مثل هذه الحوادث نتيجة منطقية وليست مجرد حادثة منعزلة. يجب التعامل مع تصحيحات Microsoft كأولوية أمنية فورية، وليس كخيار تقديري.