Patch Tuesday ביוני: כ-200 חולשות, ובהן פרצת ליבה שעלולה להתפשט, לפי ZDI
ב-9 ביוני 2026 פרסמה Microsoft עדכוני אבטחה לכ-200 חולשות, מהן 33 קריטיות. הספירה של כלי המעקב שונה, ויש מחלוקת גם על מספר חולשות היום-אפס.
TL;DR בקצרה
- לפי נתוני Microsoft, 33 מהחולשות קריטיות ושלוש היו ידועות לציבור לפני התיקון.
- CVE-2026-45657 בליבת Windows היא הרצת קוד מרחוק בציון 9.8, ש-ZDI מגדירה כחולשה שעלולה להתפשט.
- מספר חולשות היום-אפס משתנה בין BleepingComputer, Qualys ו-ZDI, כי כל אחד סופר אחרת.
- Microsoft סגרה גם את CVE-2026-42897 ב-Exchange, שמנוצלת בתקיפות מאז מאי.
Microsoft פרסמה ב-9 ביוני 2026 את עדכוני האבטחה החודשיים, Patch Tuesday יוני, עם כ-200 תיקוני חולשות. לפי נתוני Microsoft, 33 מהחולשות קריטיות ושלוש כבר היו ידועות לציבור לפני התיקון. אחת מהקריטיות היא חולשת ליבה, ש-ZDI מגדירה כמסוגלת להתפשט בין מחשבים.
Patch Tuesday יוני 2026: כמה חולשות, וכמה מהן יום אפס
הספירה משתנה לפי הגוף שסופר. BleepingComputer מדווחת על 200 חולשות, Qualys על 206 ו-ZDI על 208. חלק מההבדל נובע ממה שנכלל. BleepingComputer משמיטה תיקוני Edge ותיקונים שיצאו לפני ה-9 ביוני.
לדברי דסטין צ'יילדס מ-ZDI, זה ה-Patch Tuesday הגדול ביותר שהוא עוקב אחריו מאז 2017. הוא שואל אם נפח כזה הוא הנורמה החדשה. Microsoft לא השיבה לשאלה, לפי ZDI.
גם מספר חולשות היום-אפס שונה מגוף לגוף. לפי טבלת Microsoft, שלוש חולשות היו ידועות לציבור לפני התיקון: CVE-2026-45586 ב-CTFMON, CVE-2026-49160 ב-HTTP.sys ו-CVE-2026-50507 ב-BitLocker. אף אחת מהן לא סומנה כמנוצלת בעת השחרור.
BleepingComputer סופרת שישה: חמש ידועות לציבור ואחת מנוצלת, חולשת ה-Exchange. הרשימה שלה כוללת גם עקיפת BitLocker בשם YellowKey ופרצת הרשאות בשם Mini-Plasma. ZDI מסמנת כמנוצלת חולשה אחרת, CVE-2026-41091 ב-Microsoft Defender. Defender מתעדכן בדרך כלל לבד, אבל מערכות מבודדות צריכות עדכון ידני.
חולשת הליבה CVE-2026-45657 ופרצות HTTP.sys
CVE-2026-45657 היא הרצת קוד מרחוק ב-Windows Kernel בציון CVSS של 9.8. התוקף לא צריך הזדהות ולא צריך שמישהו ילחץ על משהו. ZDI מגדירה אותה wormable, כלומר מסוגלת להתפשט מעצמה מחשב אחר מחשב.
Microsoft מדרגת את סיכוי הניצול כנמוך. ZDI מעריכה שחוקרים יפתחו לה ניצול מהר, ולכן ממליצה לפרוס את התיקון בהקדם.
CVE-2026-47291 ב-HTTP.sys היא גם הרצת קוד מרחוק בציון 9.8, בלי הזדהות. Microsoft מדרגת את סיכוי הניצול כגבוה. מערכות עם ערך ברירת המחדל של MaxRequestBytes לא פגיעות, ויש הגדרת רישום ותסריט PowerShell להגנה בזמן בדיקות.
החולשה השלישית, CVE-2026-49160, גורמת למניעת שירות דרך HTTP/2. BleepingComputer מקשרת אותה למתקפה שנקראת HTTP/2 Bomb. Microsoft הוסיפה הגדרת רישום חדשה, MaxHeadersCount, שמגבילה כותרות בבקשה. כיוון ש-HTTP.sys משרת גם את IIS, ZDI רואה בה סיכון חמור לזמינות.
בין הקריטיות יש גם רכיבים נפוצים בארגונים. אלה שירותי התחום של Active Directory, שרת Kerberos, לקוח DHCP, לקוח שולחן עבודה מרוחק ו-Hyper-V. לפי Qualys, יש גם חולשות הרצת קוד ב-Office, ב-Outlook וב-Word.
מה עוד ב-Patch Tuesday יוני: Exchange, BitLocker ו-Adobe
Microsoft סגרה את CVE-2026-42897, חולשת XSS ב-Outlook on the web בשרתי Exchange מקומיים. היא מנוצלת בתקיפות, ולכן CISA כבר הוסיפה אותה לקטלוג. מאמצע מאי הייתה הגנה זמנית דרך שירות EEMS. Microsoft ממליצה להתקין את עדכון יוני ולהשאיר את ההגנה הזמנית. Exchange 2016 ו-2019 הגיעו לסוף תמיכה באוקטובר 2025.
ב-BitLocker CVE-2026-50507 מאפשרת עקיפה למי שיש לו גישה פיזית למחשב. לפי BleepingComputer, חולשה אחרת בשם YellowKey פגעה בעיקר במחשבי Windows 11 עם TPM בלבד, והפתרון עד היום היה להוסיף PIN. החוקר Will Dormann מזהיר שהתיקון של CVE-2026-50507 עלול להציג שגיאת מפתח של BitLocker. הפתרון שמוצע הוא להריץ reagentc /disable ואחריו reagentc /enable בחלון פקודה מוגבה.
גם Adobe פרסמה עדכונים: 11 עלוני אבטחה ו-123 חולשות. ZDI מדרגת בעדיפות ראשונה את ColdFusion ואת Campaign Classic, שדורגה בציון 10.0. Adobe לא דיווחה על ניצול.
ב-Windows 11 העדכון הוא KB5094126, ובגרסאות 25H2 ו-24H2 הוא מעלה את הבנייה ל-26200.8655 ול-26100.8655. ב-16 ביוני הוסיפה Microsoft בעיה ידועה: אפליקציות צד שלישי שמשתמשות ב-OLE עלולות לא לפתוח את Office. התיקון לכך יצא ב-14 ביולי, בעדכון KB5101650.
מה זה אומר עבורכם
- תעדפו שרתים חשופים: התקינו תחילה את התיקונים ל-HTTP.sys ולליבה בשרתי IIS ובשרתים שפונים לרשת.
- Exchange מקומי: התקינו את עדכון יוני והשאירו את הגנת EEMS פעילה.
- מחשבים ניידים: הפעילו BitLocker עם PIN, ובדקו מפתח שחזור אחרי העדכון.
- מערכות מבודדות: עדכנו את Defender ידנית, כי עדכון אוטומטי לא יגיע אליהן.
- בדקו לפני פריסה רחבה: אפליקציות שמשתמשות ב-OLE כדי לפתוח Office עלולות להיכשל עד עדכון יולי.
- מנהלים עסק קטן? המדריך של SecureBack להגנה על עסק קטן.
מקורות והרחבה
- June 2026 Security UpdatesMicrosoft
- The June 2026 Security Update ReviewZero Day Initiative
- Microsoft June 2026 Patch Tuesday fixes 6 zero-days, 200 flawsBleepingComputer
- Microsoft and Adobe Patch Tuesday, June 2026 Security Update ReviewQualys
- Microsoft patches Exchange Server zero-day exploited in attacksBleepingComputer
- June 9, 2026: KB5094126 (OS Builds 26200.8655 and 26100.8655)Microsoft Support
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
