در آذر 1404، مایکروسافت، سیسکو، ترلیکس، فورتینت، کسپرسکی، بیتدیفندر، سیتریکس، گوگل، موزیلا و اسایپی اقدام به عرضه بهروزرسانی برای ترمیم آسیبپذیریهای امنیتی در برخی محصولات خود کردند.
در این گزارش که با همکاری شرکت مهندسی شبکه گستر و مرکز مدیریت راهبردی افتا تهیه شده، برخی از این بهروزرسانیهای منتشرشده به طور اجمالی مورد بررسی قرار گرفته است.
| مایکروسافت | سیسکو | ترلیکس | فورتینت | کسپرسکی |
| بیتدیفندر | سیتریکس | گوگل | موزیلا | اسایپی |
مـایـکـروسـافـت
18 آذر، شرکت مایکروسافت (Microsoft)، آخرین مجموعهاصلاحیههای امنیتی ماهانه خود را برای سال میلادی 2025 منتشر کرد. اصلاحیههای مذکور، 57 آسیبپذیری را در محصولات مختلف این شرکت ترمیم میکنند.
سه مورد از آسیبپذیریهای وصلهشده از نوع روز-صفر (Zero-day) بوده که یکی از آنها از مدتی پیش موردسوءاستفاده مهاجمان قرار گرفته است.
مجموعهاصلاحیههای ماه دسامبر، انواع مختلفی از آسیبپذیریها از جمله موارد زیر را در محصولات مایکروسافت ترمیم میکنند:
- Remote Code Execution – به اختصار RCE (اجرای از راه دور کد)
- Elevation of Privilege (افزایش سطح دسترسی)
- Information Disclosure (افشای اطلاعات)
- Denial of Service – به اختصار DoS (منع سرویس)
- Spoofing (جعل)
Elevation of Privilege و RCE، به ترتیب با 28 و 19 مورد، بیشترین سهم از انواع آسیبپذیریهای این ماه را به خود اختصاص دادهاند.
در این گزارش فقط آسیبپذیریهایی شمارش شدهاند که 18 آذر منتشر شدهاند. بنابراین، نقصهای امنیتی مربوط به Microsoft Edge و Mariner که پیشتر در این ماه رفع شده بودند، در این آمار لحاظ نشدهاند.
همانطور که اشاره شد سه آسیبپذیری ترمیمشده از نوع روز-صفر است. مایکروسافت ضعفی را روز-صفر تلقی میکند که پیش از انتشار وصله رسمی، بهصورت عمومی فاش یا فعالانه مورد سوءاستفاده قرار گرفته باشد.
فهرست آسیبپذیریهای روز-صفر این ماه به شرح زیر است:
CVE-2025-62221؛ یک آسیبپذیری ارتقای سطح دسترسی در Windows Cloud Files Mini Filter Driver است که بهطور فعال مورد سوءاستفاده قرار گرفته است. مایکروسافت توضیح میدهد این باگ use-after-free در Cloud Files Mini Filter Driver به مهاجم دارای دسترسی مجاز امکان میدهد سطح دسترسی خود را بهصورت محلی افزایش دهد. مایکروسافت میگوید سوءاستفاده موفق از این نقص باعث میشود مهاجم به سطح دسترسی SYSTEM برسد. CVE-2025-62221 توسط مرکز اطلاعات تهدیدات مایکروسافت (MSTIC) و مرکز واکنش امنیتی مایکروسافت (MSRC) شناسایی شده، اما جزییات نحوه سوءاستفاده افشا نشده است.
CVE-2025-64671؛ یک آسیبپذیری اجرای کد از راه دور در GitHub Copilot برای JetBrains است و به مهاجم امکان اجرای دستورات بهصورت محلی را میدهد. مایکروسافت توضیح میدهد خنثیسازی نادرست عناصر ویژه مورد استفاده در دستورات (تزریق فرمان) در Copilot به مهاجم غیرمجاز اجازه میدهد کد را بهصورت محلی اجرا کند. به گفته مایکروسافت، این نقص میتواند از طریق Cross Prompt Injection در فایلهای غیرقابل اعتماد یا سرورهای MCP مورد سوءاستفاده قرار گیرد. به نحوی که از طریق تزریق مخرب Cross Prompt در فایلهای غیرقابل اعتماد یا سرورهای MCP، مهاجم میتواند با پیوست کردن دستورات اضافی به فرمانهایی که در تنظیمات auto-approve ترمینال کاربر مجاز هستند، دستورات بیشتری اجرا کند.
CVE-2025-54100؛ یک آسیبپذیری اجرای کد از راه دور است که PowerShell از آن متأثر میشود. به گفته مایکروسافت خنثیسازی نادرست عناصر ویژه در دستورات (تزریق فرمان) در Windows PowerShell به مهاجم غیرمجاز امکان اجرای کد بهصورت محلی را میدهد. مایکروسافت تغییری اعمال کرده که هنگام استفاده از Invoke-WebRequest هشدار نمایش میدهد و از کاربر میخواهد برای جلوگیری از اجرای کد، گزینه -UseBasicParsing را اضافه کند.
سـیـسـکـو
شرکت سیسکو (Cisco Systems)، در آذر ماه، 6 آسیبپذیری را در محصولات مختلف خود ترمیم یا جزییات توصیهنامه آنها را بهروزرسانی کرد. شدت 2 مورد از این آسیبپذیریها، “بحرانی” گزارش شده است. اطلاعات بیشتر در خصوص بهروزرسانیها و اصلاحیههای سیسکو در نشانی زیر قابلدسترس میباشد:
https://tools.cisco.com/security/center/publicationListing.x
تـرلـیـکـس
شرکت ترلیکس (Trellix) در آذر ماه با انتشار Update 6 از ترمیم باگهای امنیتی در نرمافزار ePO – On-prem 5.10.0 Service Pack 1 خبر داد. اطلاعات بیشتر از طریق لینک زیر قابلدسترس است:
فـورتـینـت
در آذر، شرکت فورتینت (Fortinet)، اقدام به ترمیم 9 آسیبپذیری امنیتی در محصولات خود کرد که جزییات آنها در لینک زیر قابلمطالعه است:
https://fortiguard.fortinet.com/psirt
در پی انتشار جزییات دو مورد از آسیبپذیریهای مذکور، گزارشها نشان میدهد که این نقصهای امنیتی بحرانی با شناسههای CVE-2025-59718 و CVE-2025-59719 و شدت حساسیت 9.1، در مدتزمانی کوتاه پس از افشا، در حملات سایبری مورد سوءاستفاده قرار گرفتهاند. این آسیبپذیریها به مهاجمان امکان میدهند فرآیندهای احراز هویت را دور بزنند.
بر اساس تحلیلهای منتشرشده از سوی شرکتهای امنیتی، این دو CVE مربوط به ضعف در مکانیزم احراز هویت مبتنی بر SAML SSO هستند. در صورت فعال بودن برخی قابلیتهای مرتبط با ورود یکپارچه، مهاجم میتواند بدون نیاز به نام کاربری و رمز عبور معتبر، به پنل مدیریتی دستگاه دسترسی پیدا کند؛ مسئلهای که ریسک نفوذ کامل به زیرساخت شبکه را بهطور جدی افزایش میدهد.
نکته قابلتوجه این است که پس از دسترسی اولیه، امکان استخراج تنظیمات فایروال از طریق رابط گرافیکی نیز وجود دارد. این اطلاعات میتوانند شامل دادههای حساس پیکربندی، ساختار شبکه و حتی اعتبارنامههای هششده باشند؛ سناریویی که پیشتر نیز در موجهای مختلف سوءاستفاده از آسیبپذیریهای فورتینت مشاهده شده است.
توصیهنامه فورتینت در خصوص آسیبپذیریهای CVE-2025-59718 و CVE-2025-59719 از طریق لینک زیر قابلمطالعه است:
https://fortiguard.fortinet.com/psirt/FG-IR-25-647
کسـپـرسـکـی
بر اساس توصیهنامه امنیتی شرکت کسپرسکی (Kaspersky) که در تاریخ 3 آذر منتشر شده، یک باگ امنیتی در فرآیند نصب Kaspersky Security Center شناسایی شده که بهدلیل اعتبارسنجی ناکافی کتابخانههای پویا میتواند امکان دستکاری در یکپارچگی بسته نصب را برای مهاجم فراهم کند. این آسیبپذیری امنیتی در نسخه جدید Kaspersky Security Center برطرف شده و صرفاً نسخه نصاب تحت تأثیر بوده و نسخههای از پیش نصبشده امن محسوب میشوند.
جزییات بیشتر در لینک زیر:
https://support.kaspersky.com/vulnerability/list-of-advisories
بـیـتدیـفـنـدر
در ماهی که گذشت شرکت بیتدیفندر (Bitdefender) نسخه 6.44.1-2 سامانه GravityZone را منتشر کرد که از جمله موارد لحاظشده در آن اعمال وصلههای امنیتی بوده است. یادداشت انتشار نسخه مذکور در لینک زیر قابل مطالعه است:
https://www.bitdefender.com/business/support/en/77212-78207-gravityzone-control-center.html
سـیـتـریـکـس
بر اساس توصیهنامه که شرکت سیتریکس (Citrix) در آذر ماه منتشر کرد، یک باگ امنیتی با شناسه CVE-2025-62626 در XenServer شناسایی شده که ریشه در مشکل سختافزاری پردازندههای AMD Zen 5 دارد و میتواند باعث تولید مقادیر تصادفی ضعیف شود. این ضعف از منظر امنیتی حائز اهمیت است، زیرا ممکن است امنیت کلیدهای رمزنگاری تولیدشده توسط نرمافزارها را به خطر بیندازد. هرچند این مشکل مستقیماً از خود XenServer نیست، اما برای کاهش ریسک امنیتی، بهروزرسانی شامل میکروکد اصلاحشده AMD برای XenServer ارائه شده است. جزییات بیشتر در لینک زیر قابلمطالعه است:
https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX695797
گـوگـل
شرکت گوگل (Google)، در آذر ماه، در 4 نوبت، نسخه جدید برای مرورگر Chrome منتشر کرد. این نسخههای جدید، در مجموع، 18 آسیبپذیری را که شدت 7 مورد از آنها “بالا” گزارش شده در این مرورگر برطرف کردهاند. از جمله باگهای ترمیمشده میتوان به یک آسیبپذیری روز-صفر با شناسه CVE-2025-14174 اشاره کرد. گوگل اعلام کرده که از وجود یک اکسپلویت فعال برای آسیبپذیری مذکور در فضای واقعی (استفاده در حملات واقعی) آگاه است.
توصیهنامههای گوگل در لینک زیر قابلدسترس است:
https://chromereleases.googleblog.com
مـوزیـلا
در آذر، شرکت موزیلا (Mozilla)، چندین ضعف امنیتی را در مرورگر Firefox و نرمافزار مدیریت ایمیل Thunderbird برطرف کرد. شدت بسیاری از این باگهای امنیتی، “بالا” گزارش شده است. اطلاعات بیشتر در لینک زیر:
https://www.mozilla.org/en-US/security/advisories/
اسایپـی
شرکت اسایپی (SAP) هم در آذر ماه، 14 توصیهنامه امنیتی در خصوص محصولات مختلف خود منتشر کرد. اولویت 3 مورد از آنها “بحرانی” و 5 مورد نیز “بالا” اعلام شده است. جزییات آسیبپذیریهای بررسیشده در توصیهنامههای مذکور در لینک زیر قابل دریافت است:
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/december-2025.html
آسـیبپـذیـریهـای در حـال سـوءاسـتفـاده
در آذر 1404، مرکز CISA ایالات متحده، ضعفهای امنیتی زیر را به “فهرست آسیبپذیریهای در حال سوءاستفاده” یا همان
Known Exploited Vulnerabilities Catalog اضافه کرد:
CVE-2025-14733 WatchGuard Firebox Out of Bounds Write Vulnerability
CVE-2025-59374 ASUS Live Update Embedded Malicious Code Vulnerability
CVE-2025-40602 SonicWall SMA1000 Missing Authorization Vulnerability
CVE-2025-20393 Cisco Multiple Products Improper Input Validation Vulnerability
CVE-2025-59718 Fortinet Multiple Products Improper Verification of Cryptographic Signature Vulnerability
CVE-2025-14611 Gladinet CentreStack and Triofox Hard Coded Cryptographic Vulnerability
CVE-2025-43529 Apple Multiple Products Use-After-Free WebKit Vulnerability
CVE-2018-4063 Sierra Wireless AirLink ALEOS Unrestricted Upload of File with Dangerous Type Vulnerability
CVE-2025-14174 Google Chromium Out of Bounds Memory Access Vulnerability
CVE-2025-58360 OSGeo GeoServer Improper Restriction of XML External Entity Reference Vulnerability
CVE-2025-6218 RARLAB WinRAR Path Traversal Vulnerability
CVE-2025-62221 Microsoft Windows Use After Free Vulnerability
CVE-2022-37055 D-Link Routers Buffer Overflow Vulnerability
CVE-2025-66644 Array Networks ArrayOS AG OS Command Injection Vulnerability
CVE-2025-55182 Meta React Server Components Remote Code Execution Vulnerability
CVE-2021-26828 OpenPLC ScadaBR Unrestricted Upload of File with Dangerous Type Vulnerability
CVE-2025-48633 Android Framework Information Disclosure Vulnerability
CVE-2025-48572 Android Framework Privilege Escalation Vulnerability
CVE-2021-26829 OpenPLC ScadaBR Cross-site Scripting Vulnerability
فهرست کامل Known Exploited Vulnerabilities Catalog در لینک زیر قابل دریافت است:
https://www.cisa.gov/known-exploited-vulnerabilities-catalog