شرکت Microsoft یک آسیب‌پذیری روز صفر در Windows Shell را که در حملات فعال بهره‌برداری می‌شد و به مهاجمان اجازه می‌داد سازوکارهای Mark of the Web را دور بزنند، پچ کرد. این نقص با شناسه CVE-2026-96951 ردیابی می‌شود و در به‌روزرسانی‌های Patch Tuesday ماه اکتبر 2026 برطرف شده است. امتیاز CVSS آن 8.8 است و از دید شرکت Microsoft در رده Important ارزیابی شده است.
این آسیب‌پذیری پیش از انتشار به‌روزرسانی به‌صورت عمومی افشا نشده بود؛ اما شرکت Microsoft تأیید کرد که پیش‌تر از آن بهره‌برداری شده است. ارزیابی «Exploitation Detected» به‌معنای حمله تأییدشده است، نه تهدیدی احتمالی در آینده. شاخص Exploitability Index شرکت Microsoft به مشتریان توصیه می‌کند به‌روزرسانی‌های مشمول این دسته را در بالاترین اولویت قرار دهند.
بهره‌برداری از آسیب‌پذیری روز صفر Windows Shell
این نقص از نوع تزریق فرمان است؛ در این حالت Windows Shell عناصر خاصِ به‌کاررفته در یک فرمان را به‌درستی پردازش نمی‌کند. بنا بر توصیف Microsoft، پیامد آن دور زدن قابلیت امنیتی است که برای مهاجمِ بدون احراز هویت از طریق شبکه قابل انجام است. در صورت موفقیت در بهره‌برداری، مهاجم می‌تواند سازوکارهای حفاظتی Mark of the Web را دور بزند.
سازوکار Mark of the Web فایل‌هایی را که از اینترنت می‌آیند شناسایی می‌کند و به Windows کمک می‌کند هشدارها یا بررسی‌های حفاظتی دیگر را اعمال کند. دور زدن این محافظت می‌تواند مانع مهمی را که میان یک فایل دانلودشده و باز کردن محتوای خطرناک توسط کاربر قرار دارد، حذف کند. با این حال اثر گزارش‌شده از جنس دور زدن قابلیت امنیتی است و یک نقص مستقلِ اجرای کد از راه دور نیست.
مهاجم می‌تواند یک فایل دست‌کاری‌شده را از طریق ایمیل یا پیام‌رسان‌های فوری ارسال کند و با مهندسی اجتماعی، هدف را به باز کردن آن ترغیب کند. بهره‌برداری مستلزم اقدام کاربر است. بنابراین با وجود مسیر تحویل مبتنی بر شبکه، نباید این نقص را به‌عنوان حمله بدون کلیک تلقی کرد.
گزارش‌های پیشین درباره حملات LNK‑Stomping در Windows روش دیگری را توصیف کرده بود که مهاجمان از طریق میانبرهای Windows سازوکار Mark of the Web را دور می‌زدند. جدا از آن، یک آسیب‌پذیری WinZip مرتبط با Mark of the Web نشان داد چگونه فرایند استخراج آرشیو می‌تواند برچسب‌های منشأ اینترنت را از دست بدهد. این‌ها آسیب‌پذیری‌های مجزا هستند و روش‌های یادشده به‌عنوان تکنیک‌های مورداستفاده در حملات فعلی تأیید نشده‌اند.
اطلاعیه ارائه‌شده توسط Microsoft به Riku Bamba و Yuya Chudo از شرکت Fujitsu Limited، به Benoit Sevens که با Claude از شرکت Anthropic همکاری داشت، و به پژوهشگر yhw اعتبار داده است. در این اطلاعیه مهاجمان، اهداف آن‌ها، قالب فایل مخرب یا ابعاد بهره‌برداری شناسایی نشده است. نبود این جزئیات نتیجه‌گیری درباره کارزار و دامنه نفوذ آن را محدود می‌کند.
تیم‌های امنیتی باید به‌روزرسانی‌های مربوط به Windows را در اولویت قرار دهند و صفحه Security Update Guide شرکت Microsoft را برای محصولات تحت‌تأثیر بررسی کنند. آزمایش و استقرار سریع پچ اهمیت ویژه‌ای دارد، زیرا بهره‌برداری تأیید شده است. کاربران باید در برابر پیوست‌های غیرمنتظره محتاط بمانند، زیرا این حمله به متقاعد کردن فرد برای تعامل با محتوای تحت کنترل مهاجم متکی است.
