חברת מיקרוסופט שחררה במסגרת עדכוני חודש אוקטובר (Patch Tuesday) תיקון דחוף לפצת אבטחה מסוג Zero-Day במעטפת מערכת ההפעלה Windows (Windows Shell), אשר שימשה תוקפים במערכות מתקפה פעילות בשטח.
הפצה, המקבלת את הסימון CVE-2026-96951, נושאת ציון חומרה של 8.8 מתוך 10 ומאפשרת לתוקפים לעקוף את מנגנוני ההגנה של תגית האבטחה באינטרנט.
הפצת האבטחה נוצלה בפועל עוד בטרם פורסמה באופן ציבורי, עובדה שגרמה למיקרוסופט לסווג את האירוע בקטגוריית "Exploitation Detected", המעידה על תקיפות מומשות ולא רק על איום תיאורטי. מדד ניצול הפצות של החברה ממליץ למנהלי מערכות וארגונים ברחבי העולם להעניק עדיפות עליונה לפריסת העדכון המהיר כדי למנוע חדירות נוספות.
מעקף מנגנוני Mark of the Web והזרקת פקודות
התקלה במערכת ההפעלה נובעת מכשל בהתמודדות של Windows Shell עם אלמנטים מיוחדים בפקודות, המוביל להזרקת פקודות (Command Injection) ולעקיפה של מנגנון ההגנה הידוע בשם Mark of the Web (MotW). מנגנון זה אחראי על זיהוי קבצים המורדים מרשת האינטרנט והצגת אזהרות אבטחה מובנות כאשר המשתמש מנסה לפתוח אותם במחשב המקומי.
היכולת לעקוף את תגית ה-MotW מסירה את אחד המחסומים הקריטיים המפרידים בין קובץ זדוני שהורד מרשת האינטרנט לבין פתיחתו על ידי המשתמש. תוקפים עושים שימוש בהנדסה חברתית ומשלוח קבצים זדוניים מותאמים דרך הודעות דוא"ל או מסרים מיידיים, כדי לשכנע את היעד לפתוח את הקובץ. עם זאת, החברה מבהירה כי הניצול דורש פעולה מצד המשתמש ואינו מהווה פצת "אפס קליק" (Zero-click).
צוותי מחקר ופעולות מומלצות לארגונים
החולשה אותרה ודווחה למיקרוסופט על ידי חוקרי אבטחה מחברת פוג'יטסו (Fujitsu) ומאנת'רופיק (Anthropic), לצד חוקרים עצמאיים. נכון לעכשיו, מיקרוסופט טרם פרסמה פרטים אודות זהות התוקפים, היקף הפגיעה או פורמטים מדויקים של הקבצים הזדוניים ששימשו במערכות ההתקפה.
צוותי אבטחת מידע וארגונים נדרשים לעדכן בהקדם האפשרי את מערכות ה-Windows ברשתות הארגוניות באמצעות חבילת העדכונים של אוקטובר, לצד הגברת המודעות בקרב עובדים לגבי סכנת פתיחת קבצים ממקורות לא מוכרים.
