ثغرة Outlook CVE-2026-124194: طريقة الترقيع (نوفمبر 2026)

ما ثغرة يوم الصفر CVE-2026-124194 في Outlook؟

CVE-2026-124194 ثغرة انتحال في Microsoft Outlook استغلها المهاجمون قبل وجود إصلاح؛ وقد رقّعتها Microsoft في 10 نوفمبر 2026 ^[1][2].

يدرج دليل التحديثات الأمنية لدى Microsoft الثغرة بوصفها «تم رصد الاستغلال» (Exploitation Detected)، ويقول إنها لم تُكشف علناً قبل التحديث ^[1]. ونوع الضعف فيها CWE-356، أي أن المنتج لا يحذّر المستخدم قبل إجراء غير آمن ^[1][6].

وببساطة، ينبغي أن يعرض Outlook تحذيراً قبل جلب محتوى من موقع شبكي خارجي. ومع هذا الخلل، قد يجعل ملف رسالة مصمَّم خصيصاً Outlook يتصل بخادم يتحكم به المهاجم دون إظهار ذلك التحذير ^[1][2].

وكانت الثغرة الوحيدة من نوع يوم الصفر المستغلة فعلياً في إصدار Microsoft لشهر نوفمبر 2026، بحسب BleepingComputer وSecurityWeek ^[2][3]. ونسبت Microsoft الإبلاغ عنها إلى باحث يُعرف باسم «nono» وإلى بونوا سيفنز (Benoît Sevens) ^[3].

هذا خلل أمني، وليس انقطاعاً في الخدمة.

كيف يعمل تسرب تجزئة NTLM في Outlook؟

يرسل المهاجم ملف رسالة مصمَّماً؛ وإذا فتحه الضحية في نسخة متأثرة من Outlook، فقد يحاول Windows تسجيل الدخول إلى خادم المهاجم ويسلّمه تجزئة NTLMv2 الخاصة بالمستخدم ^[1][2].

1. التسليم: يرسل المهاجم ملف رسالة خبيثاً بالبريد الإلكتروني أو يشاركه بوسيلة أخرى ^[1].
2. إجراء المستخدم: يفتح الضحية الملف في Outlook. وتقول Microsoft إن جزء المعاينة ليس ناقل هجوم، فلا بد من نقرة لفتحه ^[1].
3. اتصال خفي: يتصل Outlook بموقع شبكي يتحكم به المهاجم دون تحذير المحتوى الخارجي المعتاد ^[1].
4. إرسال التجزئة: يحاول Windows المصادقة تلقائياً، فتنكشف تجزئة NTLMv2 الخاصة بالمستخدم ^[1][2].
5. الاستغلال: يستطيع المهاجم محاولة كسر التجزئة دون اتصال أو استخدامها للمصادقة بوصفه المستخدم ^[1][2].

NTLM بروتوكول تسجيل دخول أقدم في Windows. والتجزئة ليست كلمة المرور نفسها، لكن BleepingComputer تقول إن تجزئة NTLMv2 الملتقطة يمكن كسرها دون اتصال ^[2]، وتشير Microsoft إلى أن NTLM عرضة لهجمات إعادة توجيه SMB والرجل في المنتصف والقوة الغاشمة ^[9]. ولاحظت BleepingComputer أيضاً أن ثغرات تسريب NTLM مشابهة استُغلت سابقاً عبر مرفقات خبيثة في حملات تصيّد ^[2].

ولا تقدّم نشرة Microsoft تفاصيل عن المستهدفين أو نطاق الهجمات ^[3].

ما إصدارات Outlook المتأثرة وما الإصدارات المصلَّحة؟

تدرج Microsoft كلاً من Microsoft 365 Apps for Enterprise وOffice LTSC 2021 وOffice LTSC 2024 بوصفها متأثرة، بنسختيها 32 بت و64 بت ^[1][5].

صدر إصدار أمان Office لشهر نوفمبر 2026 في 10 نوفمبر ويغطي كل قناة تحديث ^[5]. وتدرج Microsoft الثغرة CVE-2026-124194 ضمن قسم Outlook في ذلك الإصدار ^[5]. ويعرض الجدول أدناه الإصدارات المصلَّحة كما تدرجها Microsoft لكل قناة وإصدار. قارن رقم إصدارك بالصف المطابق لقناتك وإصدارك.

لمعرفة رقم الإصدار لديك، افتح ملف (File) ثم حساب Office (Office Account) أو الحساب (Account) في أحد تطبيقات Office؛ ويعرض قسم معلومات المنتج اسم المنتج، وفي بعض الحالات رقم الإصدار الكامل، ويعرض زر «حول» (About) الخاص بالتطبيق الإصدار الكامل ^[10]. ولتثبيت التحديث اختر خيارات التحديث (Update Options) ثم التحديث الآن (Update Now) ^[8]. وإذا لم يظهر خيار التحديث ولم يظهر سوى زر «حول»، فنسختك مرخّصة بالجملة أو تديرها مؤسستك، فاستخدم Microsoft Update أو تواصل مع مكتب المساعدة ^[8].

وذكرت SecurityWeek المنتجات الثلاثة المتأثرة نفسها ^[3]. وتدرج نشرة Microsoft منتجات Office فقط بوصفها متأثرة وتحيل إلى ملاحظات إصدار أمان Office للحصول على الإصلاح، فالتحديث التراكمي لـWindows ليس هو الإصلاح ^[1][5].

ما مدى خطورة ثغرة يوم الصفر في Outlook؟

تصنّفها Microsoft متوسطة الخطورة بدرجة أساسية CVSS 3.1 قدرها 6.5، لكنها تستحق إجراءً سريعاً لأن الهجمات جارية بالفعل ^[1][3][4].

يبيّن متجه CVSS أن تفاعل المستخدم مطلوب (يجب أن يفتح المستخدم ملفاً)، مع أثر مرتفع على السرية ولا أثر على السلامة أو التوافر ^[1].

وثلاث حقائق ترفع الإلحاح العملي فوق الدرجة:

• استغلال مؤكد: وسمتها Microsoft بأنها مستغلة، وأضافتها CISA إلى كتالوج الثغرات المستغلة المعروفة في 10 نوفمبر 2026 ^[1][4].
• سرقة بيانات الاعتماد: تقول Microsoft إن التجزئة المسرّبة يمكن استخدامها للمصادقة بوصفك المستخدم ^[1]، وتشير إلى أن NTLM عرضة لهجمات إعادة التوجيه والقوة الغاشمة ^[9].
• التسليم عبر التصيّد: تقول BleepingComputer إن ثغرات NTLM مشابهة استُغلت سابقاً عبر مرفقات خبيثة في حملات تصيّد ^[2].

ومنحت CISA الوكالات المدنية الفيدرالية الأمريكية مهلة حتى 24 نوفمبر 2026 لتطبيق الإصلاح ^[4]. وتقول CISA إنه من غير المعروف ما إذا كانت مجموعات فدية قد استخدمت الثغرة ^[4]. وأصدر JPCERT/CC في اليابان أيضاً تنبيهاً يحث المستخدمين على تطبيق التحديثات ^[6].

كيف تحمي نفسك من CVE-2026-124194؟

ثبّت تحديث Office لشهر نوفمبر 2026 أولاً؛ فنشرة Microsoft تدرج التحديث بوصفه الإصلاح ولا تقدّم حلاً بديلاً منفصلاً ^[1][5]. ثم فكّر في خطوات التحصين العامة أدناه ^[7][9].

1. حدّث Office: في Outlook اختر ملف (File) ثم حساب Office (Office Account) ثم خيارات التحديث (Update Options) ثم التحديث الآن (Update Now)، أو ادفع التحديث عبر أدوات الإدارة لديك ^[5][8].
2. تأكد من رقم الإصدار: قارن الإصدار الظاهر في Outlook بقائمة Microsoft لقناتك ^[5].
3. احظر SMB الصادر: تنصح إرشادات Microsoft العامة لـSMB بحظر المنفذ TCP 445 الصادر إلى الإنترنت عند جدار حماية الشركة، وتقول إن من غير المرجح أن تحتاج إليه ما لم يتطلبه عرض سحابي عام مثل Azure Files أو Office 365 ^[7]. وهذا دفاع متعدد الطبقات، وليس حلاً بديلاً تدرجه Microsoft لهذه الثغرة.
4. غطِّ الحواسيب المحمولة: توصي Microsoft بقواعد جدار حماية صادرة على الحواسيب المحمولة للشبكات العامة، لأنها تقلل هجمات التصيّد التي توجّه المستخدمين إلى خوادم خبيثة لجمع بيانات الاعتماد ^[7].
5. قيّد NTLM الصادر: يمكن لسياسة Windows «Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers» أن تدقق حركة NTLM الصادرة أو ترفضها؛ وتنصح Microsoft باختيار تدقيق الكل (Audit all) أولاً ومراجعة السجل ^[9].
6. احذر ملفات الرسائل: لا تفتح مرفقات رسائل غير متوقعة، حتى من جهات اتصال معروفة.

ولأن التجزئة الملتقطة يمكن كسرها دون اتصال ^[2]، فإن كلمة المرور الطويلة الفريدة هي الدفاع الأفضل. راجع دليل بويام: مديرو كلمات المرور: كيف يعملون وهل هم آمنون.

ماذا تفعل إذا فتحت ملف رسالة مشبوهاً؟

كاحتياط عام، غيّر كلمة مرور حساب Windows أو حساب العمل الذي كنت مسجلاً الدخول به، وأبلغ فريق تقنية المعلومات ليفحص سجلات تسجيل الدخول.

تقول نشرة Microsoft إن الثغرة تكشف تجزئة NTLMv2 الخاصة بالمستخدم ويمكن استخدامها للمصادقة بوصفه ^[1]؛ ولا تقدّم خطوات لمن ربما فتحوا ملفاً كهذا بالفعل. والتجزئة الملتقطة مشتقة من كلمة المرور القديمة، ولذلك فإن كلمة المرور الجديدة تعني أن تلك التجزئة لم تعد تطابق الحساب.

• أبلغ: أخبر موظفي تقنية المعلومات أو الأمن بوقت فتحك الملف ومن أرسله.
• احتفظ بالرسالة: لا تحذفها؛ فهي تساعد المحققين على إيجاد مستلمين آخرين.
• افحص عمليات تسجيل الدخول: يستطيع المسؤولون مراجعة نشاط الحساب بحثاً عن مواقع أو أجهزة غير مألوفة.
• استخدم المصادقة متعددة العوامل: فهي تجعل كلمة المرور المكسورة أقل نفعاً لتسجيل الدخول إلى الخدمات عبر الإنترنت، وإن كانت لا تمنع المهاجم من محاولة كسر التجزئة.

أما المسؤولون الذين ضبطوا سياسة NTLM الصادر على وضع التدقيق فسيرون المحاولات مسجلة في سجل NTLM التشغيلي، الذي يحدد الخوادم التي تتلقى طلبات مصادقة NTLM من الجهاز ^[9]. وللمستخدمين المنزليين الخطوات أبسط: حدّث Office، وغيّر كلمة المرور إذا فتحت ملفاً غريباً، وفعّل تسجيل الدخول بخطوتين. ويقارن دليل بويام: المصادقة الثنائية: أي طريقة 2FA هي الأكثر أماناً؟ بين الخيارات.

ماذا أصلحت Microsoft أيضاً في Patch Tuesday لنوفمبر 2026؟

أصلح إصدار Microsoft لنوفمبر 2026 أكثر من 1,000 ثغرة، لكن وسائل الإعلام عدّتها بصورة مختلفة: أفادت SecurityWeek بـ1,094 وBleepingComputer بـ1,235 ^[2][3].

ولا تشرح أي من الجهتين الفرق شرحاً كاملاً. تقول BleepingComputer إن إجماليها يستثني 108 ثغرات أُصلحت في وقت سابق من الشهر ^[2]، بينما تعرض SecurityWeek تفصيلاً بحسب المنتج وتذكر أيضاً 165 ثغرة CVE تابعة لأطراف ثالثة أعادت Microsoft نشرها ^[3]. وقالت BleepingComputer إن 66 من الثغرات صُنفت حرجة ^[2]. وعدّت SecurityWeek 726 ثغرة في Windows و174 في Office ^[3].

وكانت ثغرة Outlook الوحيدة التي وُسمت بأنها مستغلة ^[1][2][3]. وتضمن الإصدار أيضاً آخر التحديثات الأمنية الشهرية لإصدارَي Enterprise وEducation من Windows 11 الإصدار 23H2، بحسب SecurityWeek ^[3].

وكان إصدار أكتوبر أكبر، بحجم قياسي: أفادت BleepingComputer بـ1,411 إصلاحاً وSecurityWeek بـ1,413 ^[2][3]. ولاحظت BleepingComputer أن Microsoft تواصل استخدام الذكاء الاصطناعي لاكتشاف الثغرات وترقيعها ^[2]. وللمستخدمين المنزليين النصيحة العملية نفسها كل شهر: دع تحديثات Windows Update وOffice تُثبَّت ثم أعد التشغيل.

كيف تصل هجمات ملفات رسائل Outlook إلى الناس؟

تصل هجمات كهذه عادةً عبر التصيّد: رسالة بريد إلكتروني بمرفق خبيث، كما تصف BleepingComputer في حالة ثغرات NTLM المشابهة ^[2].

تقول Microsoft إن على المهاجم إقناع المستخدم بفتح ملف خبيث ^[1]. وهذا يجعل الوعي المعتاد بالتصيّد خط الدفاع الأول. احذر من المرفقات غير المتوقعة والطلبات العاجلة والمرسلين الذين لا يطابق عنوانهم اسمهم.

ولقائمة تحقق أوسع، راجع دليل بويام: ما هو التصيّد الاحتيالي؟ كيف تتعرف على الرسائل الإلكترونية والنصية ورموز QR المزيفة.

ويمكن للمؤسسات أيضاً ترشيح مرفقات ملفات الرسائل الواردة من مرسلين خارجيين عند بوابة البريد وتنبيه المستخدمين حين تأتي الرسالة من خارج الشركة. وهذه الخطوات لا تغني عن التحديث، لكنها تقلل عدد من يرون الملف أصلاً.