مایکروسافت برای رفع مجموعه عظیمی از ۱۲۵ نقص[۱] بر محصولات نرم‌افزاری خود، ازجمله یک آسیب‌پذیری که به‌طور فعال در سطح اینترنت مورد بهره‌برداری قرار گرفته است، اصلاحات امنیتی منتشر کرده است.
از ۱۲۵ آسیب‌پذیری، ۱۱ آسیب‌پذیری بحرانی، ۱۱۲ آسیب‌پذیری مهم و دو مورد ازنظر شدت پایین رتبه‌بندی شده‌اند. ۴۹ مورد از این آسیب‌پذیری‌ها به‌عنوان افزایش امتیاز، ۳۴ مورد به‌عنوان اجرای کد از راه دور، ۱۶ مورد به‌عنوان افشای اطلاعات و ۱۴ مورد به‌عنوان اشکالات انکار سرویس (DoS) طبقه‌بندی می‌شوند.
این به‌روزرسانی‌ها از ۲۲ نقصی[۲] که این شرکت در مرورگر اج مبتنی بر Chromium خود از زمان انتشار به‌روزرسانی سه‌شنبه‌های خود در ماه گذشته وصله کرد[۳]، جدا هستند.
آسیب‌پذیری که به‌عنوان تحت حمله فعال پرچم‌گذاری شده است، نقصی در افزایش امتیاز (EoP) است که بر درایور سیستم فایل گزارش مشترک (CLFS) ویندوز (CVE-2025-29824، امتیاز ۷٫۸ در CVSS) تأثیر می‌گذارد که از یک سناریوی حمله پس از استفاده آزاد برای یک سناریوی قانونی مجاز محلی برای elevviate اجازه می‌دهد.
CVE-2025-29824 ششمین آسیب‌پذیری EoP است[۴] که در همان مؤلفه کشف شده است که از سال ۲۰۲۲ در طبیعت مورد بهره‌برداری قرار گرفته است، سایر آسیب‌پذیری‌ها CVE-2022-24521، CVE-2022-37969، CVE-2023-238-2072، CVE-2023-238-2072، CVE-238-2023، و CVE-2022-24524 هستند. CVE-2024-49138 (نمرات ۷٫۸ در CVSS 7.8).
ساتنام نارنگ، مهندس تحقیقات ارشد کارکنان در Tenable، گفت: «از دیدگاه مهاجم، فعالیت پس از سازش مستلزم کسب امتیازات لازم برای انجام فعالیت‌های بعدی روی یک سیستم آسیب‌دیده، مانند حرکت جانبی است».
“بنابراین، باگ‌های افزایش امتیاز معمولاً در حملات هدفمند محبوب هستند. بااین‌حال، افزایش معایب امتیاز در CLFS در طول سال‌ها در بین اپراتورهای باج افزار محبوبیت خاصی پیدا کرده است.”
مایک والترز، رئیس و یکی از بنیان‌گذاران Action1، گفت[۵] که این آسیب‌پذیری اجازه می‌دهد تا امتیازات را به سطح SYSTEM افزایش دهد و درنتیجه به مهاجم توانایی نصب نرم‌افزار مخرب، تغییر تنظیمات سیستم، دست‌کاری ویژگی‌های امنیتی، دسترسی به داده‌های حساس و حفظ دسترسی دائمی را می‌دهد.
بن مک کارتی، مهندس امنیت سایبری ارشد در Immersive می‌گوید: «آنچه این آسیب‌پذیری را به‌ویژه نگران‌کننده می‌کند این است که مایکروسافت بهره‌برداری فعال در سطح اینترنت را تأیید کرده است، اما در حال حاضر هیچ وصله‌ای برای سیستم‌های ۳۲ یا ۶۴ بیتی ویندوز ۱۰ منتشر نشده است. فقدان یک وصله یک شکاف اساسی در دفاع برای بخش وسیعی از اکوسیستم ویندوز ایجاد می‌کند.»
“تحت شرایط دست‌کاری حافظه خاص، استفاده پس از آزاد شدن می‌تواند راه‌اندازی شود، که مهاجم می‌تواند از آن برای اجرای کد در بالاترین سطح امتیاز در ویندوز بهره‌برداری کند. نکته مهم این است که مهاجم برای بهره‌برداری از این آسیب‌پذیری به امتیازات مدیریتی نیاز ندارد و فقط دسترسی محلی لازم است.”
بهره‌برداری فعال از این نقص، به گفته مایکروسافت، با حملات باج افزار علیه تعداد کمی از اهداف مرتبط است. این توسعه باعث شده است که آژانس امنیت سایبری و امنیت زیرساخت ایالات‌متحده (CISA) آن را به کاتالوگ آسیب‌پذیری‌های مورد بهره‌برداری شناخته‌شده[۶] (KEV) اضافه کند[۷] و سازمان‌های فدرال را ملزم می‌کند تا این اصلاح را تا ۲۹ آوریل ۲۰۲۵ اعمال کنند.
برخی دیگر از آسیب‌پذیری‌های قابل‌توجهی که در این ماه توسط مایکروسافت وصله شده‌اند عبارت‌اند از نقص دور زدن ویژگی امنیتی (SFB) که بر Windows Kerberos (CVE-2025-29809) و همچنین نقص‌های اجرای کد از راه دور در سرویس‌های دسکتاپ از راه دور ویندوز (CVE-2025-27480, CVE-2025-27482) و پروتکل دسترسی به دایرکتوری سبک‌وزن ویندوز (CVE-2025-26663، CVE-2025-26670) تأثیر می‌گذارد.
همچنین باید توجه داشت چندین نقص اجرای کد از راه دور با شدت بحرانی در مایکروسافت آفیس و اکسل (CVE-2025-29791، CVE-2025-27749، CVE-2025-27748، CVE-2025-27745 و CVE-2025-27752) وجود دارد که می‌تواند توسط یک بازیگر بد با استفاده از یک سند اکسل ساخته‌شده خاص مورد بهره‌برداری قرار گیرد و منجر به کنترل کامل سیستم شود.
همچنین دو آسیب‌پذیری اجرای کد از راه دور کشف شده است که روی TCP/IP ویندوز (CVE-2025-26686) و Windows Hyper-V (CVE-2025-27491) تأثیر می‌گذارند که می‌توانند به مهاجم اجازه دهند تحت شرایط خاصی کد را روی شبکه اجرا کنند.
شایان‌ذکر است که تعدادی از این آسیب‌پذیری‌ها هنوز وصله‌هایی برای ویندوز ۱۰ دریافت نکرده‌اند. مایکروسافت گفت این به‌روزرسانی‌ها «در اسرع وقت منتشر می‌شوند و زمانی که در دسترس باشند، مشتریان از طریق ویرایش اطلاعات CVE مطلع خواهند شد».
وصله‌های نرم‌افزاری از سایر فروشندگان
علاوه بر مایکروسافت، به‌روزرسانی‌های امنیتی توسط سایر فروشندگان نیز در چند هفته گذشته برای اصلاح چندین آسیب‌پذیری منتشر شده است، ازجمله:
- Adobe
- Amazon Web Services
- AMD
- Apache Parquet
- Apple
- Arm
- ASUS
- Bitdefender
- Broadcom(including VMware)
- Canon
- Cisco
- CrushFTP
- Dell
- Drupal
- F5
- Fortinet
- GitLab
- Google Android
- Google Chrome
- Google Cloud
- Hitachi Energy
- HP
- HP Enterprise(including Aruba Networking)
- Huawei
- IBM
- Ivanti
- Jenkins
- Juniper Networks
- Lenovo
- Linux distributions Amazon Linux, Debian, Oracle Linux, Red Hat, Rocky Linux, SUSE, and Ubuntu
- MediaTek
- Meta WhatsApp
- Minio
- Mitel
- Mitsubishi Electric
- MongoDB
- Moxa
- Mozilla Firefox, Firefox ESR, and Thunderbird
- QNAP
- Qualcomm
- Rockwell Automation
- Salesforce
- Samsung
- SAP
- Schneider Electric
- Siemens
- SonicWall
- Sophos
- Splunk
- Spring Framework
- Synology
- WordPress
- Zoho ManageEngine, and
- Zoom
[۱] https://msrc.microsoft.com/update-guide/releaseNote/2025-apr
[۲] https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security
[۳] https://thehackernews.com/2025/03/urgent-microsoft-patches-57-security.html
[۴] https://thehackernews.com/2024/12/microsoft-fixes-72-flaws-including.html
[۵] https://www.cisa.gov/news-events/alerts/2025/04/08/cisa-adds-two-known-exploited-vulnerabilities-catalog
[۶] https://www.action1.com/patch-tuesday/patch-tuesday-april-2025/
[۷] https://www.cisa.gov/known-exploited-vulnerabilities-catalog
[۸] https://thehackernews.com/2025/04/microsoft-patches-126-flaws-including.html
ثبت ديدگاه