- شناسه CVE-2025-26633 :CVE
- CWE-707 :CWE
- yes :Advisory
- منتشر شده: مارس 11, 2025
- به روز شده: می 19, 2025
- امتیاز: 7.0
- نوع حمله: Unknown
- اثر گذاری: Security Feature Bypass
- حوزه: سیستم‌عامل‌ها و اجزای کلیدی آن
- برند: Microsoft
- محصول: Windows
- وضعیتPublished :CVE
- Yes :POC
- وضعیت آسیب پذیری: patch شده
چکیده
آسیب‌پذیری خنثی‌سازی نادرست ورودی ها در کنسول مدیریت مایکروسافت (MMC) به مهاجمان غیرمجاز اجازه می‌دهد با بهره‌برداری لوکال و تعامل کاربر، برخی از ویژگی های امنیتی را دور بزنند و کنترل کامل سیستم را به دست آورند.
توضیحات
آسیب‌پذیری CVE-2025-26633 در کنسول مدیریت مایکروسافت (MMC، ابزاری گرافیکی برای مدیریت تنظیمات سیستم‌عامل ویندوز) روی نسخه‌های مختلف ویندوز شناسایی شده است. این ضعف ناشی از خنثی‌سازی نادرست ورودی‌ها بوده و مطابق با CWE-707 طبقه‌بندی می‌شود. به عبارت دیگر، مهاجم بدون احراز هویت می‌تواند با ارسال فایل مخرب طراحی‌شده، مکانیزم‌های امنیتی MMC را دور بزند.
بهره‌برداری معمولاً به‌صورت لوکال و با تعامل کاربر انجام می‌شود؛ مهاجم با ارسال فایل ویژه (مثلاً از طریق ایمیل، پیام‌رسان یا وب‌سایت) کاربر را فریب می‌دهد تا فایل را باز کند و سپس می تواند ویژگی های امنیتی دور بزند. موفقیت حمله ممکن است نیازمند اقدامات آماده‌سازی در محیط هدف (مثل تغییر تنظیمات UAC یا سیاست‌های گروهی) و دانش فنی باشد.
کد اثباتِ مفهومی (PoC) عمومی منتشر شده و نشان می‌دهد که با باز کردن یک فایل یا اجرای اسکریپت مخرب، MMC می‌تواند ویژگی های امنیتی را دور بزند و مهاجم به بخش‌های محدود سیستم دسترسی پیدا کند. این ضعف در فهرست KEV آژانس CISA ثبت شده و اکسپلویت فعال نیز گزارش شده است. گزارش‌ها نشان می‌دهد هیچ سناریوی وب‌بیسِ بدون تعامل کاربر (web‑based, no‑interaction) تأیید نشده است و بهره‌برداری فعلی مستلزم تعامل کاربر (باز کردن فایل) و آماده‌سازی محیط است؛ با این حال وجود PoC عمومی و گزارش اکسپلویت فعال، اولویت پچ و تدابیر حفاظتی را بالا می‌برد.
پیامدهای این آسیب‌پذیری شامل نقض محرمانگی با افشای داده‌های حساس، یکپارچگی با تغییر تنظیمات سیستمی و در دسترس‌پذیری با امکان اجرای کد دلخواه است. محصولات آسیب‌پذیر شامل نسخه‌های مختلف ویندوز از Windows Server 2008 Service Pack 2 تا Windows Server 2025 هستند. مایکروسافت در به‌روزرسانی‌های امنیتی مارس 2025 این ضعف را پچ کرده و اکیداً توصیه می‌کند فوراً پچ‌ها اعمال شوند.
CVSS
| Score | Severity | Version | Vector String |
| 7.0 | HIGH | 3.1 | CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C |
لیست محصولات آسیب پذیر
| Versions | Platforms | Product |
| affected from 10.0.17763.0 before 10.0.17763.7009 | 32-bit Systems, x64-based Systems | Windows 10 Version 1809 |
| affected from 10.0.17763.0 before 10.0.17763.7009 | x64-based Systems | Windows Server 2019 |
| affected from 10.0.17763.0 before 10.0.17763.7009 | x64-based Systems | Windows Server 2019 (Server Core installation) |
| affected from 10.0.20348.0 before 10.0.20348.3328 | x64-based Systems | Windows Server 2022 |
| affected from 10.0.19044.0 before 10.0.19044.5608 | 32-bit Systems, ARM64-based Systems, x64-based Systems | Windows 10 Version 21H2 |
| affected from 10.0.22621.0 before 10.0.22621.5039 | ARM64-based Systems, x64-based Systems | Windows 11 version 22H2 |
| affected from 10.0.19045.0 before 10.0.19045.5608 | x64-based Systems, ARM64-based Systems, 32-bit Systems | Windows 10 Version 22H2 |
| affected from 10.0.26100.0 before 10.0.26100.3476 | x64-based Systems | Windows Server 2025 (Server Core installation) |
| affected from 10.0.22631.0 before 10.0.22631.5039 | ARM64-based Systems | Windows 11 version 22H3 |
| affected from 10.0.22631.0 before 10.0.22631.5039 | x64-based Systems | Windows 11 Version 23H2 |
| affected from 10.0.25398.0 before 10.0.25398.1486 | x64-based Systems | Windows Server 2022, 23H2 Edition (Server Core installation) |
| affected from 10.0.26100.0 before 10.0.26100.3476 | ARM64-based Systems, x64-based Systems | Windows 11 Version 24H2 |
| affected from 10.0.26100.0 before 10.0.26100.3476 | x64-based Systems | Windows Server 2025 |
| affected from 10.0.10240.0 before 10.0.10240.20947 | 32-bit Systems, x64-based Systems | Windows 10 Version 1507 |
| affected from 10.0.14393.0 before 10.0.14393.7876 | 32-bit Systems, x64-based Systems | Windows 10 Version 1607 |
| affected from 10.0.14393.0 before 10.0.14393.7876 | x64-based Systems | Windows Server 2016 |
| affected from 10.0.14393.0 before 10.0.14393.7876 | x64-based Systems | Windows Server 2016 (Server Core installation) |
| affected from 6.0.6003.0 before 6.0.6003.23168 | 32-bit Systems | Windows Server 2008 Service Pack 2 |
| affected from 6.0.6003.0 before 6.0.6003.23168 | 32-bit Systems, x64-based Systems | Windows Server 2008 Service Pack 2 (Server Core installation) |
| affected from 6.0.6003.0 before 6.0.6003.23168 | x64-based Systems | Windows Server 2008 Service Pack 2 |
| affected from 6.1.7601.0 before 6.1.7601.27618 | x64-based Systems | Windows Server 2008 R2 Service Pack 1 |
| affected from 6.1.7601.0 before 6.1.7601.27618 | x64-based Systems | Windows Server 2008 R2 Service Pack 1 (Server Core installation) |
| affected from 6.2.9200.0 before 6.2.9200.25368 | x64-based Systems | Windows Server 2012 |
| affected from 6.2.9200.0 before 6.2.9200.25368 | x64-based Systems | Windows Server 2012 (Server Core installation) |
| affected from 6.3.9600.0 before 6.3.9600.22470 | x64-based Systems | Windows Server 2012 R2 |
| affected from 6.3.9600.0 before 6.3.9600.22470 | x64-based Systems | Windows Server 2012 R2 (Server Core installation) |
لیست محصولات بروز شده
| Versions | Platforms | Product |
| 10.0.17763.7009 | 32-bit Systems, x64-based Systems | Windows 10 Version 1809 |
| 10.0.17763.7009 | x64-based Systems | Windows Server 2019 |
| 10.0.17763.7009 | x64-based Systems | Windows Server 2019 (Server Core installation) |
| 10.0.20348.3328 | x64-based Systems | Windows Server 2022 |
| 10.0.19044.5608 | 32-bit Systems, ARM64-based Systems, x64-based Systems | Windows 10 Version 21H2 |
| 10.0.22621.5039 | ARM64-based Systems, x64-based Systems | Windows 11 version 22H2 |
| 10.0.19045.5608 | x64-based Systems, ARM64-based Systems, 32-bit Systems | Windows 10 Version 22H2 |
| 10.0.26100.3476 | x64-based Systems | Windows Server 2025 (Server Core installation) |
| 10.0.22631.5039 | ARM64-based Systems | Windows 11 version 22H3 |
| 10.0.22631.5039 | x64-based Systems | Windows 11 Version 23H2 |
| 10.0.25398.1486 | x64-based Systems | Windows Server 2022, 23H2 Edition (Server Core installation) |
| 10.0.26100.3476 | ARM64-based Systems, x64-based Systems | Windows 11 Version 24H2 |
| 10.0.26100.3476 | x64-based Systems | Windows Server 2025 |
| 10.0.10240.20947 | 32-bit Systems, x64-based Systems | Windows 10 Version 1507 |
| 10.0.14393.7876 | 32-bit Systems, x64-based Systems | Windows 10 Version 1607 |
| 10.0.14393.7876 | x64-based Systems | Windows Server 2016 |
| 10.0.14393.7876 | x64-based Systems | Windows Server 2016 (Server Core installation) |
| 6.0.6003.23168 | 32-bit Systems | Windows Server 2008 Service Pack 2 |
| 6.0.6003.23168 | 32-bit Systems, x64-based Systems | Windows Server 2008 Service Pack 2 (Server Core installation) |
| 6.0.6003.23168 | x64-based Systems | Windows Server 2008 Service Pack 2 |
| 6.1.7601.27618 | x64-based Systems | Windows Server 2008 R2 Service Pack 1 |
| 6.1.7601.27618 | x64-based Systems | Windows Server 2008 R2 Service Pack 1 (Server Core installation) |
| 6.2.9200.25368 | x64-based Systems | Windows Server 2012 |
| 6.2.9200.25368 | x64-based Systems | Windows Server 2012 (Server Core installation) |
| 6.3.9600.22470 | x64-based Systems | Windows Server 2012 R2 |
| 6.3.9600.22470 | x64-based Systems | Windows Server 2012 R2 (Server Core installation) |
استفاده محصول در ایران
در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که محصولات Microsoft شامل Windows 10، Windows 11 و Windows Server را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.
| Approx. Usage in .ir Domain via Google
(Total Pages) |
Search Query (Dork) | Product |
| 307,000 | site:.ir “Microsoft” “Windows 10” | Microsoft Windows 10 |
| 188,000 | site:.ir “Microsoft” “Windows 11” | Microsoft Windows 11 |
| 76,300 | site:.ir “Microsoft” “Windows Server” | Microsoft Windows Server |
نتیجه گیری
این آسیب‌پذیری با شدت بالا در کنسول مدیریت مایکروسافت (MMC)، از طریق خنثی‌سازی نادرست ورودی ها امکان دور زدن ویژگی امنیتی و دستیابی به دسترسی کامل را فراهم می‌کند. با توجه به انتشار پچ رسمی، اجرای اقدامات زیر برای جلوگیری از بهره‌برداری و کاهش ریسک ضروری است:
- به‌روزرسانی فوری: تمام سیستم‌های ویندوز را از طریق Windows Update یا پورتال مایکروسافت با پچ های مارس 2025 به‌روزرسانی کنید.
- حذف وابستگی به فایل‌های قدیمی: فایل‌های MMC مخرب را با استفاده از Windows Defender یا ابزارهای آنتی‌ویروس اسکن و حذف کنید و از باز کردن فایل‌های ناشناخته جلوگیری نمایید.
- راهکارهای کاهش ریسک (Mitigations): محدودیت‌های MMC Snap-in را از طریق Group Policy اعمال کنید، UAC را فعال نگه دارید و از اسکریپت‌های تشخیص یا کاهش Vicarius یا PowerShell برای بررسی پیکربندی استفاده کنید.
- محدودسازی دسترسی: اصل حداقل دسترسی (Least Privilege) را برای کاربران اعمال کنید، احراز هویت دو مرحله‌ای (2FA) را فعال کرده و دسترسی به MMC را با AppLocker یا Windows Defender Application Control محدود کنید. برای سرورها، از فهرست سفیدIP و VPN استفاده نمایید.
- نظارت بر لاگ‌ها: لاگ‌های MMC و سیستم را با ابزارهایی مانند Event Viewer یا Splunk مانیتور کرده و از سیستم‌های SIEM برای شناسایی تلاش‌های بهره‌برداری از فایل‌های مخرب استفاده کنید.
- ایزوله‌سازی محیط: سیستم‌های حساس را در شبکه‌های جداگانه (Network Segmentation) قرار دهید، از مجازی‌سازی مانند Hyper-V با Enhanced Session Mode برای ایزوله کردن فرآیندها استفاده کنید و MMC را در محیط‌های سندباکس اجرا نمایید.
- اسکن و تست امنیتی: سیستم را با ابزارهایی مانند Microsoft Defender یا Nessus برای اسکن آسیب‌پذیری‌ها بررسی کنید و تست‌های نفوذ روی سناریوهای دور زدن ویژگی امنیتی انجام دهید.
- آموزش: کاربران و مدیران را در مورد ریسک‌های فایل‌های مخرب، اهمیت به‌روزرسانی‌های امنیتی و تشخیص تلاش‌های فیشینگ آموزش دهید.
اجرای این اقدامات، ریسک دور زدن ویژگی امنیتی و حملات لوکال را به حداقل می‌رساند و امنیت سیستم‌های ویندوز را در برابر تهدیدات مرتبط با MMC تقویت می‌کند.
امکان استفاده در تاکتیک های Mitre Attack
Initial Access (TA0001)
آسیب‌پذیری CVE-2025-26633 در MMC ویندوز می‌تواند از طریق ارسال فایل مخرب و فریب کاربر برای باز کردن آن، مهاجم را به محیط سیستم وارد کند.
Execution (TA0002)
با باز کردن فایل مخرب، مهاجم می‌تواند کد دلخواه خود را در سیستم اجرا کند
Persistence (TA0003)
در این آسیب‌پذیری، مهاجم می‌تواند با دسترسی لوکال از طریق فایل مخرب به طور موقت یا دائمی قابلیت دور زدن امنیتی را حفظ کند.
Privilege Escalation (TA0004)
اگر مهاجم موفق به بهره‌برداری شود، امکان افزایش سطح دسترسی وجود دارد.
Defense Evasion (TA0005)
استفاده از فایل‌های مخرب و بهره‌برداری از MMC باعث دور زدن مکانیسم‌های امنیتی می‌شود.
Discovery (TA0007)
بهره‌برداری از MMC به مهاجم اجازه می‌دهد اطلاعات محیط و تنظیمات سیستم را بررسی کند.
Lateral Movement (TA0008)
این آسیب‌پذیری ذاتاً قابلیت حرکت افقی ندارد اما در صورت دسترسی موفق، مهاجم می‌تواند با محدودیت‌های کمتر در شبکه داخلی اقدام به گسترش کند.
Collection (TA0009)
بهره‌برداری مستقیم از آسیب‌پذیری برای جمع‌آوری داده‌ها گزارش نشده است اما دسترسی به MMC می‌تواند امکان مشاهده تنظیمات حساس را بدهد. محدودسازی دسترسی و مانیتورینگ فعالیت‌ها ضروری است.
Impact (TA0040)
پیامدهای فنی شامل دور زدن ویژگی‌های امنیتی، کاهش یکپارچگی سیستم، دسترسی لوکال غیرمجاز و امکان اجرای کد دلخواه است.
منابع
- https://www.cve.org/CVERecord?id=CVE-2025-26633
- https://www.cvedetails.com/cve/CVE-2025-26633/
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-26633
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-26633
- https://vuldb.com/?id.299376
- https://www.vicarius.io/vsociety/posts/cve-2025-26633-security-feature-bypass-in-microsoft-management-console-detection-script
- https://www.vicarius.io/vsociety/posts/cve-2025-26633-security-feature-bypass-in-microsoft-management-console-mitigation-script
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-26633
- https://nvd.nist.gov/vuln/detail/CVE-2025-26633
- https://cwe.mitre.org/data/definitions/707.html
