تحديثات مايكروسوفت لشهر يوليو 2025: معالجة 137 ثغرة أمنية

بينما لم يتم تصنيفها كحرجة، فإن CVE-2025-49719 هي ثغرة مُعلنة علنًا تتعلق بكشف المعلومات، حيث تلقت جميع الإصدارات بدءًا من SQL Server 2016 تصحيحات. تصنف مايكروسوفت CVE-2025-49719 على أنها أقل احتمالًا للاستغلال، لكن توفر رمز إثبات المفهوم لهذه الثغرة يعني أن تصحيحها يجب أن يكون أولوية للمؤسسات المتأثرة.

مايك والترز، المؤسس المشارك لـ Action1، قال إن CVE-2025-49719 يمكن استغلالها دون مصادقة، وأن العديد من التطبيقات الخارجية تعتمد على خادم SQL والسائقين المتأثرين - مما قد يُدخل خطر سلسلة التوريد الذي يمتد إلى ما هو أبعد من مستخدمي SQL Server المباشرين.

“تعرض المعلومات الحساسة يجعل هذه القضية ذات أولوية عالية للمنظمات التي تتعامل مع بيانات قيمة أو منظمة”، قال والترز. “الطبيعة الشاملة للإصدارات المتأثرة، والتي تمتد عبر إصدارات SQL Server المتعددة من 2016 إلى 2022، تشير إلى مشكلة أساسية في كيفية تعامل SQL Server مع إدارة الذاكرة والتحقق من صحة المدخلات.”

آدم بارنيت في Rapid7 يلاحظ أن اليوم هو نهاية الطريق لـ SQL Server 2012، مما يعني أنه لن تكون هناك تحديثات أمان مستقبلية حتى للثغرات الحرجة، حتى إذا كنت مستعدًا لدفع مايكروسوفت مقابل هذا الامتياز.

كما أشار بارنيت إلى CVE-2025-47981، وهي ثغرة ذات درجة CVSS تبلغ 9.8 (10 هي الأسوأ)، وهي ثغرة تنفيذ كود عن بُعد في الطريقة التي تتفاوض بها خوادم ويندوز والعملاء لاكتشاف آليات المصادقة المدعومة بشكل متبادل. تؤثر هذه الثغرة قبل المصادقة على أي جهاز عميل ويندوز يعمل بنظام ويندوز 10 1607 أو أعلى، وجميع الإصدارات الحالية من ويندوز سيرفر. تعتبر مايكروسوفت أنه من المرجح أكثر أن يستغل المهاجمون هذه الثغرة.

كما قامت مايكروسوفت بتصحيح ما لا يقل عن أربع ثغرات حرجة لتنفيذ كود عن بُعد في Office (CVE-2025-49695، CVE-2025-49696، CVE-2025-49697، CVE-2025-49702). يتم تصنيف أول ثغرتين من قبل مايكروسوفت على أنهما أكثر احتمالًا للاستغلال، ولا تتطلبان تفاعل المستخدم، ويمكن تفعيلهما من خلال جزء المعاينة.

تشمل ثغرتان أخريان ذات شدة عالية CVE-2025-49740 (CVSS 8.8) وCVE-2025-47178 (CVSS 8.0)؛ الأولى هي ضعف قد يسمح للملفات الضارة بتجاوز الفحص بواسطة Microsoft Defender SmartScreen، وهي ميزة مدمجة في ويندوز تحاول حظر التنزيلات غير الموثوقة والمواقع الضارة.

تتعلق CVE-2025-47178 بعيب تنفيذ كود عن بُعد في Microsoft Configuration Manager، وهي أداة مؤسسية لإدارة ونشر وتأمين أجهزة الكمبيوتر والخوادم والأجهزة عبر الشبكة. قال بن هوكينز في Immersive إن هذه الثغرة تتطلب امتيازات منخفضة جدًا للاستغلال، وأنه من الممكن لمستخدم أو مهاجم لديه دور وصول للقراءة فقط استغلالها.

“يسمح استغلال هذه الثغرة للمهاجم بتنفيذ استعلامات SQL عشوائية كحساب خدمة SMS المميز في Microsoft Configuration Manager”، قال هوكينز. “يمكن استخدام هذا الوصول للتلاعب بالنشر، ودفع البرامج الضارة أو النصوص إلى جميع الأجهزة المدارة، وتغيير التكوينات، وسرقة البيانات الحساسة، وإمكانية التصعيد إلى تنفيذ كود نظام التشغيل الكامل عبر المؤسسة، مما يمنح المهاجم سيطرة واسعة على البيئة التكنولوجية بأكملها.”

بشكل منفصل، أصدرت Adobe تحديثات أمان لمجموعة واسعة من البرامج، بما في ذلك After Effects، Adobe Audition، Illustrator، FrameMaker، وColdFusion.

لدى SANS Internet Storm Center تحليل لكل تصحيح فردي، مصنف حسب الشدة. إذا كنت مسؤولاً عن إدارة عدد من أنظمة ويندوز، فقد يكون من المفيد متابعة AskWoody للحصول على التفاصيل حول أي تحديثات قد تكون غير موثوقة (نظرًا للعدد الكبير من الثغرات ومكونات ويندوز التي تم تناولها هذا الشهر).

إذا كنت مستخدمًا منزليًا لنظام ويندوز، يرجى التفكير في نسخ بياناتك و/أو محرك الأقراص قبل تثبيت أي تصحيحات، وترك ملاحظة في التعليقات إذا واجهت أي مشاكل مع هذه التحديثات.