Microsoft פרסמה עדכוני אבטחה בחודש מרץ 2026: 77 פגיעויות תוקנו

מיקרוסופט פרסמה הערב (שלישי) עדכוני אבטחה שבועיים לטיפול ב-77 פגיעויות במערכות ההפעלה שלה ובתוכנות נוספות. בניגוד לחודש פברואר, בו דווח על חמש פגיעויות 'אפס יום', החודש לא דווח על פגיעויות דחופות מסוג זה. עם זאת, חלק מהעדכונים מצריכים התייחסות מידית מצד ארגונים המשתמשים במערכות Windows.

להלן מספר נקודות מרכזיות מעדכוני Patch Tuesday של החודש:

שתי פגיעויות שנחשפו לציבור לפני כן תוקנו

CVE-2026-21262 היא פגיעות המאפשרת להעלות הרשאות במערכת SQL Server החל מגרסה 2016 ואילך. על פי דיווח מ-Rapid7, פרצה זו מאפשרת לתוקף מורשה להעלות הרשאות לרמת sysadmin דרך הרשת. למרות שהציון בקנה מידה CVSS v3 עומד על 8.8 (מעט מתחת לסף החומרה הקריטי), דרושות הרשאות ברמה נמוכה להתקפה. מומחי אבטחה ממליצים שלא לדחות את הטיפול בפגיעות זו.

הפגיעות השנייה שנחשפה לציבור היא CVE-2026-26127, פגיעות במערכות .NET שעלולה לגרום להפסקת שירות בעקבות קריסה. במקרים מסוימים, היא עשויה לאפשר התקפות נוספות במהלך ההפעלה מחדש של השירות.

פגיעויות קריטיות ב-Microsoft Office

גם החודש לא פספסו פגיעויות קריטיות ב-Office. CVE-2026-26113 ו-CVE-2026-26110 הן שתי פגיעויות המאפשרות ביצוע קוד מרחוק באמצעות צפייה בהודעה מוכמנת במסגרת התצוגה המקדימה. לדברי Satnam Narang מ-Tenable, יותר ממחצית (55%) מפגיעויות ה-Patch Tuesday של החודש הן פגיעויות להעלאת הרשאות, ומתוכן שישה דורגו כבעלות סיכוי גבוה לזיהוי exploit.

פגיעויות בעלי סיכון גבוה לזיהוי exploit

• CVE-2026-24291: הקצאת הרשאות שגויה בתשתית הנגישות של Windows המאפשרת הגעה לרמת SYSTEM (ציון CVSS 7.8).
• CVE-2026-24294: כשל באימות במערכת SMB המאפשר ניצול מרחוק (ציון CVSS 7.8).
• CVE-2026-24289: פגיעות חמורה בזיכרון ובתחרות (race condition) במערכת הגרפיקה של Windows (ציון CVSS 7.8).
• CVE-2026-25187: חולשה בתהליך Winlogon שהתגלתה על ידי צוות Google Project Zero (ציון CVSS 7.8).

פגיעות שהתגלתה על ידי AI

Ben McCarthy, מהנדס אבטחה מוביל ב-Immersive, ציין את CVE-2026-21536, פגיעות קריטית לביצוע קוד מרחוק ברכיב 'Microsoft Devices Pricing Program'. מיקרוסופט כבר תיקנה את הפגיעות בצד שלה, ולכן למשתמשי Windows אין צורך לנקוט בפעולה נוספת. עם זאת, פגיעות זו בולטת כיוון שהיא אחת הראשונות שהתגלו על ידי סוכן AI אוטונומי וזכתה להכרה רשמית עם CVE במערכת ההפעלה Windows.

הפגיעות התגלתה על ידי XBOW, סוכן בדיקות חדירה אוטונומי מלא, אשר מדורג באופן עקבי בראש טבלת לוח ההישגים של Hacker One במהלך השנה האחרונה. לדברי McCarthy, CVE-2026-21536 מדגימה כיצד סוכני AI יכולים לזהות פגיעויות קריטיות בדרגת 9.8 ללא גישה לקוד המקור.

"למרות שמיקרוסופט כבר תיקנה והקטינה את הפגיעות, היא מצביעה על שינוי מגמה לעבר גילוי פגיעויות מורכבות באמצעות AI במהירות הולכת וגוברת. פיתוח זה מצביע על כך שחקר פגיעויות בעזרת AI ימלא תפקיד הולך וגדל בנוף האבטחה העולמי."