فهرست مطالب
شرکت مایکروسافت در به‌روزرسانی امنیتی اکتبر ۲۰۲۶ با ثبت رکورد ۱۴۱۱ آسیب‌پذیری اصلاح‌شده، از جمله سه نقص روز صفر، چندین حفره بحرانی ویندوز را برطرف کرد.
به گزارش سرویس سیستم‌عامل کامپیوتر تکناک، در میان آسیب‌پذیری‌های اصلاح‌شده با Patch Tuesday اکتبر ۲۰۲۶ مایکروسافت، ۷۰ مورد در دسته بحرانی قرار دارند. از این تعداد، ۵۷ مورد امکان اجرای کد از راه دور، ۱۱ مورد امکان ارتقای سطح دسترسی و دو مورد امکان جعل هویت یا اطلاعات را فراهم می‌کنند. توزیع تقریبی آسیب‌پذیری‌ها بر اساس دسته‌بندی امنیتی به شرح زیر است:
- ۶۷۷ مورد ارتقای سطح دسترسی
- ۴۰ مورد دور زدن قابلیت‌های امنیتی
- ۳۱۷ مورد اجرای کد از راه دور
- ۲۵۴ مورد افشای اطلاعات
- ۷۳ مورد محروم‌سازی از سرویس
- ۲۸ مورد جعل هویت یا اطلاعات
حتما بخوانید: مایکروسافت راه دور زدن محدودیت‌های نصب ویندوز ۱۱ را در نسخه 26H2 مسدود کرد
وب‌سایت بلیپینگ کامپیوتر در گزارش‌های مربوط به Patch Tuesday، تنها آسیب‌پذیری‌هایی را محاسبه می‌کند که مایکروسافت در همان روز، پچ‌های آنها را منتشر کرده باشد. بر همین اساس، آمار این ماه ۳۴۸ آسیب‌پذیری را که در ابتدای اکتبر برطرف شده‌اند، در بر نمی‌گیرد. این موارد محصولات و سرویس‌هایی از جمله مرکز رابط برنامه‌نویسی کاربردی آژور، سرویس اپلیکیشن آژور، رویدادهای آژور، عامل مهندسی قابلیت اطمینان سایت آژور، مارینر، مایکروسافت بوکینگز، مایکروسافت دیتاوریس، سرور اکسچنج مایکروسافت و مرکز شرکای مایکروسافت را تحت تأثیر قرار می‌دادند. به این ترتیب، به‌روزرسانی امنیتی ویندوز در اکتبر ۲۰۲۶ رکورد تازه‌ای در تعداد آسیب‌پذیری‌های اصلاح‌شده در یک دوره Patch Tuesday ثبت کرده است. مایکروسافت همچنان از پلتفرم‌های هوش مصنوعی برای شناسایی و رفع نقص‌های امنیتی در محصولات خود بهره می‌گیرد.
پایان پشتیبانی از ویندوز ۱۱ نسخه 24H2
برای مطالعه بیشتر: رفع دو مشکل آزاردهنده ویندوز ۱۱ با انتشار به‌روزرسانی جدید
مایکروسافت امروز اعلام کرد که پشتیبانی از نسخه‌های Home و Pro ویندوز ۱۱ نسخه 24H2، همچنین ویندوز ۱۰ نسخه Enterprise LTSB 2016 به پایان رسیده است. طبق اعلام این شرکت، در تاریخ ۱۳ اکتبر ۲۰۲۶، دریافت به‌روزرسانی برای این نسخه‌ها متوقف شده است و وصله امنیتی ماهانه اکتبر آخرین به‌روزرسانی منتشرشده برای آنها محسوب می‌شود. همچنین مایکروسافت اوایل همین ماه به سازمان‌هایی که از نسخه‌های Enterprise، Education و IoT Enterprise ویندوز ۱۱ نسخه 23H2 استفاده می‌کنند، توصیه کرد که به نسخه‌های جدیدتر مهاجرت کنند. این نسخه‌ها از ماه آینده دیگر وصله‌های امنیتی دریافت نخواهند کرد. برای بررسی جزئیات به‌روزرسانی‌های غیرامنیتی منتشرشده در همین روز، می‌توان گزارش‌های مربوط به وصله‌های تجمعی ویندوز ۱۱ با شناسه‌های KB5127648 و KB5126653 و به‌روزرسانی امنیتی توسعه‌یافته ویندوز ۱۰ با شناسه KB5126657 را مطالعه کرد.
رفع سه آسیب‌پذیری روز صفر در به‌روزرسانی امنیتی ویندوز
به‌روزرسانی امنیتی ویندوز در اکتبر، سه آسیب‌پذیری روز صفر را پوشش می‌دهد: یک مورد که مهاجمان به‌طور فعال از آن سوءاستفاده می‌کردند و دو مورد که پیش‌تر به صورت عمومی افشا شده بودند. مایکروسافت آسیب‌پذیری روز صفر را نقصی تعریف می‌کند که پیش از در دسترس قرار گرفتن وصله رسمی، به صورت عمومی افشا شده است یا در حملات واقعی مورد سوءاستفاده قرار گرفته باشد.
- CVE-2026-96951؛ آسیب‌پذیری دور زدن قابلیت امنیتی پوسته ویندوز
مایکروسافت یک آسیب‌پذیری روز صفر با سوءاستفاده فعال را اصلاح کرده است که به مهاجمان امکان می‌داد قابلیت امنیتی Mark of the Web را دور بزنند. طبق هشدار مایکروسافت، خنثی‌سازی نامناسب عناصر ویژه در فرمان‌های پوسته ویندوز، که با عنوان تزریق فرمان شناخته می‌شود، می‌تواند به مهاجم غیرمجاز اجازه دهد از طریق شبکه یک قابلیت امنیتی را دور بزند. این شرکت تاکنون اطلاعاتی درباره شیوه بهره‌برداری از این نقص یا هویت افشاکننده آن ارائه نکرده است.
- CVE-2026-108398؛ آسیب‌پذیری دور زدن قابلیت امنیتی دات‌نت فریم‌ورک
مایکروسافت نقصی را در دات‌نت فریم‌ورک برطرف کرده است که می‌تواند برای دور زدن سازوکارهای امنیتی و اجرای برنامه‌های غیرمجاز مورد بهره‌برداری قرار بگیرد. بر اساس توضیحات این شرکت، وجود مسیر جست‌وجوی غیرقابل اعتماد در دات‌نت فریم‌ورک به مهاجم دارای مجوز اجازه می‌دهد یک قابلیت امنیتی را به صورت محلی دور بزند. این آسیب‌پذیری می‌تواند امکان عبور از سازوکار اجرای سیاست‌های کنترل برنامه در ویندوز دیفندر، موسوم به WDAC و اجرای برنامه‌های غیرمجاز را فراهم کند. مایکروسافت توضیح داد که مهاجم احراز هویت‌شده می‌تواند اسمبلی دات‌نتی با ساختار دست‌کاری‌شده را در سامانه آسیب‌پذیر قرار دهد و آن را برای بارگذاری توسط یک فرایند محافظت‌شده ثبت کند. بهره‌برداری موفق از این نقص می‌تواند محدودیت‌های WDAC را دور بزند و امکان اجرای کد درون فرایند محافظت‌شده را در اختیار مهاجم قرار دهد. این حمله به تعامل کاربر نیاز ندارد.
- CVE-2026-92707؛ آسیب‌پذیری محروم‌سازی از سرویس در مسج‌پک-سی‌شارپ
مایکروسافت یک نقص محروم‌سازی از سرویس را در کتابخانه مسج‌پک-سی‌شارپ اصلاح کرده است. به گفته این شرکت، مدیریت نامناسب تخصیص ترتیبی حافظه در دات‌نت می‌تواند به مهاجم غیرمجاز اجازه دهد از طریق شبکه، دسترسی به سرویس را مختل یا آن را از دسترس خارج کند. مایکروسافت تاکنون مشخص نکرده است چه فرد یا گروهی این آسیب‌پذیری را افشا کرده است.
به‌روزرسانی‌های امنیتی سایر شرکت‌ها در اکتبر ۲۰۲۶
در کنار مایکروسافت، چندین شرکت دیگر نیز در اکتبر ۲۰۲۶ پچ‌ها و به‌روزرسانی امنیتی ویندوز را منتشر کردند:
- ادوبی: به‌روزرسانی‌های امنیتی متعددی برای محصولات Commerce، Substance 3D Samples، ColdFusion، فتوشاپ، دایمنشن و فریم‌ورک منتشر کرد.
- اطلسین: آسیب‌پذیری بحرانی CVE-2026-21589 را در چندین محصول دیتاسنتر خودمیزبان، از جمله Confluence، Jira و بیت‌باکت، برطرف کرد. مهاجمان مدت کوتاهی پس از انتشار کد اثبات مفهوم این آسیب‌پذیری، از آن سوءاستفاده کردند.
- سیسکو: برای محصولات مختلف خود وصله‌های امنیتی منتشر کرد که از جمله آنها می‌توان به رفع آسیب‌پذیری‌های بحرانی در سیستم‌عامل شبکه‌ای دیتاسنتر NX-OS اشاره کرد. این نقص‌ها می‌توانستند امکان اجرای کد دلخواه با سطح دسترسی ریشه را روی سوئیچ‌های نکسوس برای مهاجمان فراهم کنند.
- Citrix : آسیب‌پذیری‌های NetScaler ADC و NetScaler Gateway را اصلاح کرد. آسیب‌پذیری CVE-2026-88779 پیش از انتشار پچ در حملات روز صفر مورد بهره‌برداری قرار گرفته بود.
- دل: آسیب‌پذیری‌های بحرانی در ابزار خط فرمان استقرار سیستم آپدیت دل و ماژول‌های ذخیره‌سازی کانتینر را برطرف کرد.
- داکر: یک نقص امنیتی بحرانی در داکرهاب را اصلاح کرد که امکان جعل هویت کاربران و انتشار تصاویر نرم‌افزاری در مخازن متعلق به دیگران را به مهاجمان می‌داد.
- فورتی‌نت: برای محصولات متعدد خود به‌روزرسانی امنیتی منتشر کرد که آسیب‌پذیری بحرانی CVE-2026-104286 در فورتی‌میل، مورد سوءاستفاده در حملات روز صفر را نیز پوشش می‌دهد.
- گیت‌لب: آسیب‌پذیری‌های بحرانی در ای‌آی گیت‌وی و کامپایلر عبارت‌های باقاعده بخش CI/CD را برطرف کرد.
- Ivanti : یک آسیب‌پذیری روز صفر را در درگاه دسترسی از راه دور Ivanti Connect Secure (ICS) وصله کرد که به‌طور فعال در حملات مورد سوءاستفاده قرار می‌گرفت.
- Kiteworks : در مجموع ۱۲۶ آسیب‌پذیری را اصلاح کرد که یکی از آنها نقصی با بالاترین سطح شدت امنیتی در راهکار درگاه محافظت از ایمیل این شرکت بود.
- Progress Software: وصله‌هایی برای آسیب‌پذیری‌های بحرانی و با شدت بالا در مارک‌لاجیک سرور منتشر کرد.
- SAP : به‌روزرسانی‌های امنیتی اکتبر این شرکت ۲۰ آسیب‌پذیری را پوشش می‌دهند. در میان آنها، یک نقص جعل درخواست سمت سرور از طریق OAuth2 با بالاترین سطح شدت امنیتی در کلاد اس‌دی‌کی پایتون قرار دارد.
- سونیک‌وال: آسیب‌پذیری بحرانی جعل درخواست سمت سرور در سرور SMA1000 را برطرف کرد. مهاجمان تنها دو روز پس از شناسایی این نقص، بهره‌برداری از آن را آغاز کردند.
رویکرد جدید برای اولویت‌بندی به‌روزرسانی امنیتی ویندوز
مایکروسافت در پی ثبت رکورد تازه‌ای در تعداد آسیب‌پذیری‌های اصلاح‌شده، روش جدیدی را برای کمک به سازمان‌ها در اولویت‌بندی به‌روزرسانی امنیتی ویندوز معرفی کرده است. در این روش، آسیب‌پذیری‌های مرتبط در دسته‌هایی با عنوان «گروه‌های ریسک» قرار می‌گیرند. هدف از این رویکرد، دسته‌بندی نقص‌های مشابه و کمک به سازمان‌ها برای شناسایی آسیب‌پذیری‌هایی است که بیشترین خطر را برای زیرساخت‌های آنها ایجاد می‌کنند و باید در اولویت اصلاح قرار بگیرند. مایکروسافت برای اکتبر ۲۰۲۶، ۱۵ گروه ریسک تعریف کرده است. پنج گروه از مهم‌ترین دسته‌های منتشرشده عبارت‌انداز:
- ۱۳۶ آسیب‌پذیری در فایل‌سیستم‌ها، زیرساخت ذخیره‌سازی و سامانه‌های پشتیبان‌گیری ویندوز
- ۱۳۵ آسیب‌پذیری مرتبط با اسناد آفیس و کلاینت‌های ایمیل
- ۱۳۱ آسیب‌پذیری در بخش‌های پردازش گرافیک، رسانه و محتوا در ویندوز
- ۱۰۹ آسیب‌پذیری مرتبط با هسته ویندوز و مرزهای تفکیک سطح دسترسی
- ۱۰۳ آسیب‌پذیری در سرویس‌های نصب، استقرار و به‌روزرسانی ویندوز
حتما بخوانید: شخصی‌سازی ویندوز ۱۱ وارد مرحله جدیدی می شود؟ + تصویر
مایکروسافت هشدار داده است که این دسته‌بندی‌ها لزوما نشان‌دهنده میزان خطرناک بودن آسیب‌پذیری‌ها نیستند. ریسک واقعی هر نقص به عواملی مانند بهره‌برداری فعال از آن در حملات، شدت آسیب‌پذیری و نحوه استفاده سازمان از نرم‌افزار آسیب‌دیده بستگی دارد. این شرکت تاکید کرد که گروه‌های ریسک هنوز در مرحله آزمایشی قرار دارند و برای کمک به سازمان‌ها در تعیین اولویت نصب پچ‌ها طراحی شده‌اند. این روش قرار نیست جایگزین توصیه‌های فعلی مایکروسافت درباره به‌روزرسانی‌های امنیتی شود. همچنین مایکروسافت یک فایل پی‌دی‌اف منتشر کرده است که آسیب‌پذیری‌های اصلاح‌شده در اکتبر ۲۰۲۶ را با گروه‌های ریسک مربوط به هرکدام تطبیق می‌دهد.
برای دسترسی به جزئیات کامل هر آسیب‌پذیری و مشاهده سامانه‌های تحت تاثیر آن، گزارش کامل را از اینجا ببینید. این گزارش، علاوه بر وصله‌های منتشرشده در Patch Tuesday، آسیب‌پذیری‌هایی را نیز در بر می‌گیرد که مایکروسافت در ابتدای همین ماه اصلاح کرده است.
