گزارش وضعیت امنیتی و پیش‌بینی وصله‌های ماه نوامبر ۲۰۲۶
November 2026 Patch Tuesday forecast: Old software continues to bite
ماه اکتبر ۲۰۲۶ با ثبت رکورد ۱,۴۰۷ آسیب‌پذیری در مایکروسافت و انتشار وصله‌های اضطراری متعدد برای تهدیداتی نظیر PHP2Shell و HTTP2Shell همراه بود. تیم‌های امنیتی باید علاوه بر مدیریت این وصله‌ها، نسبت به حذف نرم‌افزارهای منسوخ و پایان‌یافته (EOL) که تهدیدی جدی برای شبکه محسوب می‌شوند، اقدام کنند.
آسیب‌پذیری‌های کلیدی و تهدیدات فعال
در ماه اکتبر، آسیب‌پذیری zero-day با شناسه CVE-2026-96951 در Windows Shell شناسایی شد که امکان دور زدن ویژگی‌های امنیتی را در ویندوز ۱۰، ۱۱ و سرور فراهم می‌کرد. همچنین آسیب‌پذیری CVE-2026-10839 در .NET Framework به صورت عمومی افشا شد. در حوزه وب، آسیب‌پذیری‌های PHP2Shell (CVE-2026-109618 و CVE-2026-109619) به دلیل بهره‌برداری فعال در محیط عملیاتی، نیازمند توجه فوری هستند.
مایکروسافت همچنین یک وصله اضطراری برای CVE-2026-111497 منتشر کرد که با نام‌های Broccoli2Shell، Node2Shell یا HTTP2Shell شناخته می‌شود و کتابخانه‌های Brotli در نسخه‌های .NET 8، 9، 10 و نسخه آزمایشی 11 را تحت تأثیر قرار می‌دهد. علاوه بر این، هفت گواهی دیجیتال ناامن از لیست اعتماد ویندوز حذف شدند.
به‌روزرسانی‌های اپل و مدیریت نرم‌افزارهای منسوخ
اپل در ۲۶ اکتبر به‌روزرسانی‌های امنیتی گسترده‌ای منتشر کرد. نسخه macOS Golden Gate 27 شامل رفع ۱۸۳ آسیب‌پذیری است. همچنین یک وصله حیاتی برای CVE-2026-86950 در iOS 18.7.11 و iPadOS 18.7.11 ارائه شد که از اجرای کد دلخواه از طریق CoreGraphics جلوگیری می‌کند. این آسیب‌پذیری در حملات هدفمند علیه کاربران نسخه‌های قدیمی‌تر مورد بهره‌برداری قرار گرفته بود.
کارشناسان بر ضرورت شناسایی و حذف نرم‌افزارهای EOL تأکید دارند. نمونه‌ای از یک نرم‌افزار رها شده از سال ۲۰۱۴ نشان داد که چگونه عدم حذف برنامه‌های قدیمی می‌تواند میلیون‌ها دستگاه را در معرض خطر حملات زنجیره تأمین قرار دهد.
نکته‌های کلیدی
- ثبت رکورد ۱,۴۰۷ آسیب‌پذیری در وصله‌های ماه اکتبر مایکروسافت.
- بهره‌برداری فعال از آسیب‌پذیری‌های PHP2Shell و نیاز به جایگزینی runtime و ری‌استارت سرویس‌های وب.
- انتشار وصله اضطراری برای آسیب‌پذیری HTTP2Shell در کتابخانه‌های Brotli.
- رفع آسیب‌پذیری CoreGraphics در نسخه‌های قدیمی iOS و iPadOS توسط اپل.
- خطر جدی نرم‌افزارهای منسوخ (EOL) برای امنیت شبکه و لزوم پاکسازی آن‌ها.
چه باید کرد
- اعمال فوری وصله‌های مربوط به PHP2Shell و اطمینان از ری‌استارت کامل سرویس‌های وب برای بارگذاری کد جدید در حافظه.
- به‌روزرسانی کتابخانه‌های .NET 8، 9، 10 و 11 برای رفع آسیب‌پذیری HTTP2Shell.
- بررسی و حذف نرم‌افزارهای منسوخ و بدون پشتیبانی از محیط عملیاتی.
- به‌روزرسانی سیستم‌عامل‌های اپل به آخرین نسخه‌های امنیتی ارائه شده در ۲۶ اکتبر.
- آمادگی برای به‌روزرسانی‌های ماه نوامبر شامل محصولات Adobe، Chrome و Firefox/Thunderbird.
آسیب‌پذیری‌های این خبر
- CVE-2026-109618 KEV · مهلت ۱۴۰۵/۰۸/۰۷ PHP Group PHP, Siemens AMIS TS, Siemens Energy Engage EPSS ۹۹٫۹٪ 9.2بحرانی
- CVE-2026-109619 KEV · مهلت ۱۴۰۵/۰۸/۰۷ PHP Group PHP, Siemens AMIS TS, Siemens Energy Engage EPSS ۹۹٫۹٪ 9.2بحرانی
- CVE-2026-111497 KEV · مهلت ۱۴۰۵/۰۸/۱۹ Google Brotli, Siemens COMOS Walkinside, Siemens Cloud Connector Configurator EPSS ۸۲٫۶٪ 9.2بحرانی
- CVE-2026-86950 KEV · مهلت ۱۴۰۵/۰۷/۲۱ Apple iOS and iPadOS, Apple macOS EPSS ۲۶٫۱٪ 8.8بالا
- CVE-2026-96951 KEV · مهلت ۱۴۰۵/۰۷/۲۴ Microsoft Edge, Microsoft Outlook.com, Microsoft Windows 10 EPSS ۹٫۸٪ 8.8بالا
- CVE-2026-10839 Password Manager Password Manager EPSS ۰٫۴٪ 5.1متوسط