ترمیم ۹۷۳ آسیب‌پذیری در مجموعه به‌روزرسانی‌های ماه سپتامبر مایکروسافت
سه‌شنبه، 17 شهریور، شرکت مایکروسافت (Microsoft) مجموعه اصلاحیه‌های امنیتی ماهانه موسوم به Patch Tuesday را برای ماه میلادی سپتامبر 2026 منتشر کرد. اصلاحیه‌های مذکور در مجموع 973 آسیب‌پذیری را در محصولات و سرویس‌های مختلف مایکروسافت برطرف می‌کنند.
شدت حساسیت 113 مورد از آسیب‌پذیری‌های ترمیم‌شده “بحرانی” (Critical) و 860 مورد “مهم” (Important) گزارش شده‌اند.
همچنین دو آسیب‌پذیری از این آسیب‌پذیری‌های وصله‌شده (با شناسه‌های CVE-2026-85880 و CVE-2026-81963) از مدتی پیش مورد سوءاستفاده (Exploit) مهاجمان قرار گرفته بودند.
در این گزارش که با همکاری شرکت مهندسی شبکه گستر و مرکز مدیریت راهبردی افتا تهیه شده، برخی از مهم‌ترین به‌روزرسانی‌های منتشرشده به طور اجمالی مورد بررسی قرار گرفته است.
۱۱۳ آسیب‌پذیری “بحرانی”
از مجموع ۹۷۳ آسیب‌پذیری، مایکروسافت ۱۱۳ مورد را “بحرانی” طبقه‌بندی کرده است.
بررسی نوع اثر امنیتی این ۱۱۳ آسیب‌پذیری “بحرانی” نشان می‌دهد ۸۲ مورد از نوع اجرای کد به‌صورت از راه دور (Remote Code Execution)، ۲۷ مورد از نوع ارتقای دسترسی (Elevation of Privilege)، ۲ مورد از نوع نشت اطلاعات (Information Disclosure)، یک مورد از نوع عبور از سازوکارهای امنیتی (Security Feature Bypass) و یک مورد نیز از نوع جعل (Spoofing) بوده است.
به‌عبارت دیگر بیش از ۷۲ درصد آسیب‌پذیری‌های “بحرانی” این انتشار در دسته Remote Code Execution یا RCE قرار می‌گیرند. آسیب‌پذیری RCE در صورت فراهم بودن شرایط بهره‌برداری می‌تواند به مهاجم اجازه دهد کد دلخواه خود را روی سامانه هدف اجرا کند. البته سطح ریسک واقعی هر CVE به عواملی مانند بردار حمله (Attack Vector)، نیاز به احراز هویت، تعامل کاربر، میزان در معرض بودن سرویس و وجود Exploit عملی وابسته است.
انواع آسیب‌پذیری‌ها
در کل مجموعه ۹۷۳ آسیب‌پذیری منتشرشده در سپتامبر، با ۴۳۸ مورد، آسیب‌پذیری‌های Elevation of Privilege بزرگ‌ترین گروه را تشکیل می‌دهند و پس از آن ۲۵۸ آسیب‌پذیری‌های RCE قرار گرفته‌اند.
این ترکیب برای سازمان‌ها اهمیت زیادی دارد؛ زیرا ضعف‌های افزایش سطح دسترسی معمولاً می‌توانند در زنجیره حمله و پس از دستیابی اولیه مهاجم به یک سیستم مورد استفاده قرار گیرند، در حالی که برخی آسیب‌پذیری‌های RCE ممکن است مسیر مستقیمی برای اجرای کد روی سامانه آسیب‌پذیر فراهم کنند.
دو Zero-Day فعال؛ CVE-2026-85880 و CVE-2026-81963
مهم‌ترین بخش Patch Tuesday سپتامبر ۲۰۲۶ به دو آسیب‌پذیری مربوط می‌شود که مایکروسافت برای آن‌ها وضعیت Exploitation Detected ثبت کرده است.
CVE-2026-85880؛ نقض Windows ALPC
آسیب‌پذیری CVE-2026-85880 مؤلفه Windows Advanced Local Procedure Call یا ALPC را تحت تأثیر قرار می‌دهد.
این نقص از نوع Elevation of Privilege است و مایکروسافت آن را در سطح “مهم” طبقه‌بندی کرده است.
بر اساس اطلاعات منتشرشده، منشأ آسیب‌پذیری به یک Heap-Based Buffer Overflow مربوط می‌شود و مهاجم دارای دسترسی لازم می‌تواند با بهره‌برداری موفق، سطح دسترسی خود را در سیستم افزایش دهد.
گزارش‌های منتشرشده نشان می‌دهند بهره‌برداری از این نقص می‌تواند مهاجم را به سطح دسترسی SYTEM برساند.
اهمیت این CVE نه صرفاً به امتیاز CVSS، بلکه به وجود شواهد بهره‌برداری عملی برمی‌گردد. به همین دلیل، سیستم‌های تحت تأثیر این آسیب‌پذیری باید در برنامه Patch Management سازمان در اولویت بالایی قرار گیرند.
CVE-2026-81963؛ آسیب‌پذیری Windows Update Stack
دومین آسیب‌پذیری فعال، CVE-2026-81963 است که Windows Update Stack را تحت تأثیر قرار می‌دهد.
این آسیب‌پذیری نیز از نوع Elevation of Privilege بوده و شدت حساسیت (Severity) آن در مستندات مایکروسافت “مهم” ثبت شده است.
نقص مذکور به مسئله Improper Link Resolution Before File Access یا Link Following مربوط می‌شود. مهاجمی که شرایط لازم برای بهره‌برداری محلی را در اختیار داشته باشد، می‌تواند از این ضعف برای افزایش سطح دسترسی استفاده کند.
بهره‌برداری موفق نیز می‌تواند مهاجم را به دسترسی SYSTEM برساند.
احتمال بهره‌برداری از ۵۸ آسیب‌پذیری دیگر
بر اساس مستندات مایکروسافت، این شرکت برای ۵۸ آسیب‌پذیری منتشرشده در Patch Tuesday سپتامبر وضعیت Exploitation More Likely را ثبت کرده است.
از این ۵۸ مورد،
- ۵۰ آسیب‌پذیری “مهم” هستند.
- و ۸ آسیب‌پذیری “بحرانی” هستند.
از نظر نوع اثر نیز:
- ۴۲ مورد از نوع Elevation of Privilege
- ۱۰ مورد از نوع RCE
- 5 مورد از نوع Information Disclosure
- و 1 مورد از نوع Spoofing
هستند.
بنابراین در برنامه اولویت‌بندی وصله‌ها، علاوه بر دو مورد Zero-Day، این 58 آسیب‌پذیری نیز شایسته بررسی ویژه هستند.
آسیب‌پذیری بحرانی در Windows DNS Server با CVSS 9.8
یکی از آسیب‌پذیری‌های مهمی که مایکروسافت احتمال بهره‌برداری از آن را بیشتر ارزیابی کرده، CVE-2026-69730 در Windows DNS Server است.
این آسیب‌پذیری از نوع Remote Code Execution بوده و دارای امتیاز پایه CVSS 9.8 است.
ضعف امنیتی مذکور به یک Use-After-Free مربوط می‌شود و از آنجا که DNS Server معمولاً یکی از اجزای حساس زیرساخت‌های Active Directory و شبکه‌های سازمانی است، بررسی سریع میزان تأثیرپذیری سرورهای DNS اهمیت زیادی دارد.
Kerberos و RRAS و همچنین Windows Deployment Services نیز در فهرست پرریسک
چند آسیب‌پذیری دیگر نیز در میان مواردی قرار دارند که احتمال بهره‌برداری از آن‌ها از دید مایکروسافت بیشتر است.
از جمله می‌توان به CVE-2026-69676 در Windows Kerberos اشاره کرد که یک آسیب‌پذیری Remote Code Execution با امتیاز CVSS 8.8 است.
CVE-2026-69852 در Windows Routing and Remote Access Service یا RRAS نیز یک آسیب‌پذیری RCE است.
همچنین CVE-2026-72957 در Windows Deployment Services در دسته RCE قرار گرفته است.
وجود آسیب‌پذیری در سرویس‌های زیرساختی مانند Kerberos و RRAS و همچنین Windows Deployment Services باعث می‌شود تیم‌های فناوری اطلاعات پیش از استقرار عمومی وصله‌ها، Asset Inventory و وضعیت سرویس‌های فعال در شبکه را بررسی کنند.
Patch Tuesday سپتامبر فقط محدود به Windows نیست
دامنه آسیب‌پذیری‌های منتشرشده در سپتامبر تنها به هسته Windows محدود نمی‌شود.
محصولات و مؤلفه‌های مختلفی از جمله Windows، Microsoft Office، Excel، Word، PowerPoint، SQL Server، Remote Desktop، DNS Server، سرویس‌های شبکه و مجموعه‌ای از سرویس‌ها و پلتفرم‌های مایکروسافت در این انتشار امنیتی حضور دارند.
سرورها، سرویس‌های زیرساختی، نرم‌افزارهای Office و Workloadهای مرتبط نیز باید در فرآیند ارزیابی آسیب‌پذیری قرار گیرند.
در کنار این ۹۷۳ مورد، فایل مایکروسافت شامل ۲۹ رکورد با تاریخ انتشار (Release Date) قدیمی‌تر نیز هست که همگی در ۸ سپتامبر ۲۰۲۶ به‌روزرسانی شده‌اند؛ ۲۲ مورد مربوط به ۱۱ اوت، چهار مورد مربوط به ۱۴ ژوئیه، دو مورد مربوط به ۹ ژوئن ۲۰۲۶ و یک مورد مربوط به سال ۲۰۱۸ است. این ۲۹ مورد در آمار اصلی این خبر محاسبه نشده‌اند.
فهرست کامل آسیب‌پذیری‌های ترمیم‌شده توسط مجموعه‌اصلاحیه‌های سپتامبر ۲۰۲۶ مایکروسافت در لینک زیر قابل مطالعه است: