مایکروسافت با یک رکورد جدید هزاران حفره امنیتی را هدف وصله قرار داد.

از مجموع آسیب‌پذیری‌های برطرف‌شده، ۷۲۳ مورد مربوط به ویندوز، ۱۱۱ مورد مربوط به Office و Office 2016، تعداد ۶۲ مورد مربوط به SQL و ۲۲ مورد نیز مربوط به ابزارهای توسعه‌دهنده بوده است. بیش از ۱۱۰ مورد از این آسیب‌پذیری‌ها نیز در دسته «بحرانی» قرار گرفته‌اند.

تقریباً ۹۰ درصد آسیب‌پذیری‌های این ماه در سه دسته اصلی قرار می‌گیرند: ارتقای سطح دسترسی (Privilege Escalation)، اجرای کد از راه دور (Remote Code Execution) و افشای اطلاعات (Information Disclosure).

مایکروسافت علاوه بر این موارد، اصلاحات مربوط به ۲۵ آسیب‌پذیری CVE متعلق به شرکت‌های دیگر را نیز منتشر کرده است؛ بنابراین تعداد کل آسیب‌پذیری‌های برطرف‌شده در این مجموعه به ۹۹۹ مورد می‌رسد.

رکورد جدید مایکروسافت در Patch Tuesday

حجم بالای وصله‌های امنیتی ماه سپتامبر در حالی منتشر شده که مایکروسافت در ماه‌های گذشته نیز تعداد زیادی آسیب‌پذیری را برطرف کرده بود:

• آگوست: ۴۵۷ آسیب‌پذیری
• جولای: ۶۶۳ آسیب‌پذیری
• ژوئن: ۲۲۰ آسیب‌پذیری
• مه: ۱۶۱ آسیب‌پذیری

جک بیسر، مدیر تحقیقات آسیب‌پذیری در شرکت Action1، درباره این حجم از وصله‌های امنیتی می‌گوید مسئله اصلی دیگر فقط نصب همه وصله‌ها نیست، بلکه سازمان‌ها باید بتوانند تشخیص دهند کدام آسیب‌پذیری‌ها اولویت بیشتری دارند.

به گفته او، وقتی صدها به‌روزرسانی امنیتی به‌صورت هم‌زمان منتشر می‌شوند، تیم‌های IT و امنیت باید بتوانند آسیب‌پذیری‌هایی را که نیازمند اقدام فوری هستند از مواردی که می‌توانند طبق برنامه معمول به‌روزرسانی شوند، جدا کنند.

دو آسیب‌پذیری Zero-Day که در حملات استفاده شده‌اند

مهم‌ترین بخش Patch Tuesday این ماه، دو آسیب‌پذیری Zero-Day است که مایکروسافت تأیید کرده در حملات واقعی مورد سوءاستفاده قرار گرفته‌اند.

CVE-2026-85880

این آسیب‌پذیری دارای امتیاز CVSS 7.8 است و یک سرریز بافر مبتنی بر Heap در Windows Advanced Local Procedure Call یا ALPC محسوب می‌شود.

یک مهاجم دارای دسترسی مجاز می‌تواند از این نقص برای ارتقای سطح دسترسی محلی و دستیابی به مجوزهای SYSTEM استفاده کند.

مایکروسافت در توضیحات خود اعلام کرده است که مهاجمی که بتواند کد را در یک AppContainer با سطح دسترسی پایین اجرا کند، می‌تواند از این آسیب‌پذیری برای خارج شدن از Sandbox و افزایش سطح دسترسی خود در سیستم آسیب‌دیده استفاده کند. برای انجام این حمله نیز تعامل بیشتری از سوی کاربر مورد نیاز نیست.

CVE-2026-81963

این آسیب‌پذیری نیز امتیاز CVSS 7.8 دارد و مربوط به حل نادرست لینک‌ها (Improper Link Resolution) در Windows Update Stack است.

این نقص می‌تواند به یک مهاجم دارای دسترسی مجاز اجازه دهد به‌صورت محلی سطح دسترسی خود را افزایش داده و به مجوزهای SYSTEM دست پیدا کند.

به گفته آدام بارنت، مهندس ارشد نرم‌افزار در Rapid7، تمام نسخه‌های پشتیبانی‌شده ویندوز برای این آسیب‌پذیری وصله دریافت کرده‌اند. به نظر می‌رسد این اصلاحات با هدف جلوگیری از دنبال کردن لینک‌های مخرب توسط Windows Update Stack و جلوگیری از جایگزینی اجزای سیستمی با نسخه‌های تحت کنترل مهاجم انجام شده‌اند.

شرکت‌های امنیت سایبری Volexity و Proofpoint در کشف و گزارش CVE-2026-85880 نقش داشته‌اند. همچنین Romain Deperne، پژوهشگر امنیت تهاجمی در Airbus Helicopters، و Microsoft Threat Intelligence Center یا MSTIC نیز به‌عنوان گزارش‌دهندگان آسیب‌پذیری دوم معرفی شده‌اند.

مایکروسافت اعلام کرده که شواهدی از سوءاستفاده از این دو آسیب‌پذیری در حملات واقعی مشاهده کرده است؛ با این حال، جزئیاتی درباره مهاجمان، مقیاس حملات یا اینکه آیا این حملات به نفوذ موفق به سیستم قربانیان منجر شده‌اند یا خیر، منتشر نکرده است.

CISA هر دو آسیب‌پذیری را در فهرست KEV قرار داد

بر اساس اطلاعات پلتفرم Tenable، از سال ۲۰۲۲ تاکنون هفت آسیب‌پذیری مرتبط با ارتقای سطح دسترسی در Windows Update Stack شناسایی شده است.

با این حال، CVE-2026-81963 نخستین Zero-Day و همچنین نخستین آسیب‌پذیری مورد سوءاستفاده در دنیای واقعی در این بخش محسوب می‌شود.

در مورد CVE-2026-85880 نیز این دومین آسیب‌پذیری از این نوع است که از سال ۲۰۲۳ به یک Zero-Day قابل بهره‌برداری تبدیل شده است. مورد قبلی، CVE-2023-21674 بود که در ژانویه ۲۰۲۳ وصله شد.

به دنبال این اتفاق، آژانس امنیت سایبری و زیرساخت آمریکا (CISA) هر دو آسیب‌پذیری را به فهرست Known Exploited Vulnerabilities (KEV) اضافه کرده است.

بر اساس این فهرست، سازمان‌های زیرمجموعه قوه مجریه فدرال آمریکا (FCEB) باید حداکثر تا ۲۲ سپتامبر ۲۰۲۶ وصله‌های مربوط به این دو آسیب‌پذیری را نصب کنند.

چند آسیب‌پذیری مهم دیگر که این ماه وصله شدند

علاوه بر دو Zero-Day، مایکروسافت چند آسیب‌پذیری با شدت بالا را نیز برطرف کرده است. برخی از مهم‌ترین موارد عبارت‌اند از:

• CVE-2026-55007 — CVSS 8.1: یک آسیب‌پذیری Double Free در Microsoft Exchange Server که می‌تواند به مهاجم غیرمجاز اجازه اجرای کد از طریق شبکه را بدهد.
• CVE-2026-80097 — CVSS 8.6: یک نقص در احراز هویت Microsoft Authenticator که می‌تواند منجر به افزایش سطح دسترسی محلی شود.
• CVE-2026-69465 — CVSS 8.8: یک نقص در کنترل مجوزهای Microsoft Office SharePoint که می‌تواند امکان اجرای کد از طریق شبکه را فراهم کند.
• CVE-2026-65669 — CVSS 9.6: یک آسیب‌پذیری Injection در SQL Server که می‌تواند به افزایش سطح دسترسی از طریق شبکه منجر شود.
• CVE-2026-69525 — CVSS 9.8: یک آسیب‌پذیری Use-After-Free در Windows Remote Desktop Services که امکان اجرای کد از طریق شبکه را فراهم می‌کند.
• CVE-2026-69595 — CVSS 9.8: یک آسیب‌پذیری Use-After-Free در Windows Services for NFS ONCRPC XDR Driver که می‌تواند امکان اجرای کد از راه دور را ایجاد کند.
• CVE-2026-69730 — CVSS 9.8: یک آسیب‌پذیری Use-After-Free در Windows DNS Server که می‌تواند به اجرای کد از طریق شبکه منجر شود.
• CVE-2026-69829 — CVSS 9.8: یک آسیب‌پذیری Heap-Based Buffer Overflow در Windows Shell که امکان اجرای کد از طریق شبکه را فراهم می‌کند.
• CVE-2026-72979 — CVSS 9.8: یک آسیب‌پذیری Use-After-Free در Windows DHCP Server که می‌تواند به اجرای کد از طریق شبکه منجر شود.

امسال چند آسیب‌پذیری در محصولات مایکروسافت کشف شده است؟

بر اساس داده‌های Zero Day Initiative (ZDI) متعلق به TrendAI، مایکروسافت از ابتدای سال ۲۰۲۶ تاکنون در مجموع ۲۷۶۰ آسیب‌پذیری امنیتی را برطرف کرده است.

این آمار نشان می‌دهد که استفاده از هوش مصنوعی در فرایند کشف آسیب‌پذیری‌ها احتمالاً در آینده نزدیک کاهش نخواهد یافت.

ساتنام نارنگ، مهندس ارشد تحقیقات در Tenable، می‌گوید Patch Tuesday ماه سپتامبر یکی دیگر از نقاط عطف تاریخ این برنامه محسوب می‌شود؛ زیرا تقریباً ۱۰۰۰ CVE در این ماه وصله شده و رکورد جدیدی در سال ۲۰۲۶ به ثبت رسیده است.

او برای مقایسه اشاره می‌کند که تعداد آسیب‌پذیری‌های این ماه تقریباً ۷۰ درصد بیشتر از رکورد قبلی یعنی ۵۶۹ آسیب‌پذیری در جولای است.

مجموع آسیب‌پذیری‌های برطرف‌شده در سال جاری نیز از ۲۶۰۰ مورد عبور کرده است؛ رقمی که همین حالا بیش از دو برابر رکورد قبلی سال ۲۰۲۰، یعنی ۱۲۴۵ آسیب‌پذیری، محسوب می‌شود و هنوز سه ماه دیگر تا پایان سال باقی مانده است.

آیا سازمان‌ها باید نگران همه این آسیب‌پذیری‌ها باشند؟

با وجود حجم بسیار زیاد وصله‌های امنیتی، کارشناسان معتقدند تعداد آسیب‌پذیری‌هایی که واقعاً می‌توانند بیشتر سازمان‌ها را تحت تأثیر قرار دهند، نسبتاً محدود است.

همچنین تاکنون افزایش متناسبی در تعداد حملات فعال مشاهده نشده است.

به گفته نارنگ، سازمان‌ها باید ابتدا مشخص کنند کدام آسیب‌پذیری‌ها واقعاً محصولات و زیرساخت آن‌ها را تحت تأثیر قرار می‌دهند. سپس باید بررسی کنند که آیا این آسیب‌پذیری‌ها از طریق اینترنت قابل دسترسی و قابل بهره‌برداری هستند یا خیر و در نهایت، بر اساس میزان ریسک، اولویت نصب وصله‌ها را تعیین کنند.

تایلر رگولی، معاون بخش تحقیق و توسعه امنیت در Fortra، نیز معتقد است که وقتی مایکروسافت همچنان در حال جبران عقب‌ماندگی خود در زمینه وصله آسیب‌پذیری‌هاست، تعداد بالای CVEها به‌تنهایی معنای زیادی ندارد.

او تأکید می‌کند که این موضوع فقط به مایکروسافت محدود نیست و شرکت‌هایی مانند Oracle و دیگر تولیدکنندگان بزرگ نرم‌افزار نیز با شرایط مشابهی مواجه هستند.

از طرف دیگر، افزایش تعداد وصله‌ها لزوماً اتفاق بدی نیست. هر آسیب‌پذیری که پیش از پیدا شدن و استفاده مهاجمان برطرف شود، در واقع سطح حمله (Attack Surface) سازمان‌ها را کاهش می‌دهد.

در نهایت، با برطرف شدن آسیب‌پذیری‌های قدیمی و دشوار برای کشف، انتظار می‌رود Patch Tuesday دوباره به روند معمول خود بازگردد.