📄 الوصف (الإنجليزية)
Microsoft MSHTML Remote Code Execution Vulnerability — Microsoft MSHTML engine contains an improper input validation vulnerability that allows for remote code execution vulnerability.
🤖 ملخص AI
CVE-2019-0541 is a critical remote code execution vulnerability in Microsoft's MSHTML engine (Trident), the rendering engine used by Internet Explorer and embedded in Office applications. The flaw stems from improper input validation, allowing attackers to execute arbitrary code in the context of the current user by enticing victims to open a malicious Office document or visit a crafted webpage. With a CVSS score of 9.0 and a confirmed public exploit, this vulnerability poses an immediate and severe threat to organizations. Unpatched systems face complete compromise including data exfiltration, lateral movement, and ransomware deployment.
📄 الوصف (العربية)
🤖 التحليل الذكي آخر تحليل: Apr 12, 2026 07:30
🇸🇦 التأثير على المملكة العربية السعودية
هذه الثغرة تمثل خطراً بالغاً على المؤسسات السعودية في القطاعات التالية: القطاع المصرفي والمالي (البنوك الخاضعة لإشراف ساما) حيث يُستخدم Office على نطاق واسع في العمليات اليومية؛ الجهات الحكومية الخاضعة لإشراف هيئة الأمن السيبراني الوطنية التي تعتمد على بيئات Windows التقليدية؛ قطاع الطاقة بما فيه أرامكو السعودية وشركات المقاولين التي تتلقى مستندات من مصادر خارجية؛ قطاع الرعاية الصحية الذي يعتمد على تطبيقات Office في إدارة السجلات؛ وقطاع الاتصالات. الاستغلال عبر مستندات Office المُرسلة بالبريد الإلكتروني يجعل هذه الثغرة مثالية لحملات التصيد الاحتيالي الموجّه (Spear Phishing) التي تستهدف المؤسسات السعودية بشكل متزايد.
🏢 القطاعات السعودية المتأثرة
Banking
Government
Energy
Healthcare
Telecom
Education
Defense
Retail
⚖️ درجة المخاطر السعودية (AI)
9.2
/ 10.0
🔧 Remediation Steps (English)
IMMEDIATE ACTIONS (0-24 hours):
1. Apply Microsoft Security Update KB4480959 (January 2019 Patch Tuesday) immediately across all Windows endpoints.
2. Prioritize patching systems running Internet Explorer and Microsoft Office (Word, Excel, PowerPoint, Outlook).
3. Block execution of MSHTML-based content from untrusted sources via Group Policy.
PATCHING GUIDANCE:
4. Deploy patches via WSUS/SCCM/Intune — ensure January 2019 cumulative updates are applied.
5. Verify patch deployment using: wmic qfe list | findstr KB4480959
6. Patch all supported Windows versions: Windows 7, 8.1, 10, Server 2008 R2, 2012, 2016, 2019.
COMPENSATING CONTROLS (if patching is delayed):
7. Disable Internet Explorer or restrict its use via Group Policy.
8. Enable Protected View in Microsoft Office for all documents from external sources.
9. Deploy Attack Surface Reduction (ASR) rules to block Office from creating child processes.
10. Enable EMET or Windows Defender Exploit Guard to mitigate exploitation.
11. Block macro execution in Office documents from the internet.
DETECTION RULES:
12. Monitor for suspicious child processes spawned by Office applications (winword.exe, excel.exe, powerpnt.exe spawning cmd.exe, powershell.exe, wscript.exe).
13. Enable Windows Defender ATP alerts for MSHTML exploitation attempts.
14. Deploy YARA/Snort rules targeting malicious MSHTML payloads in email attachments.
15. Monitor network traffic for unusual outbound connections following Office document opens.
🔧 خطوات المعالجة (العربية)
الإجراءات الفورية (خلال 0-24 ساعة):
1. تطبيق تحديث مايكروسوفت الأمني KB4480959 (تحديثات يناير 2019) فوراً على جميع نقاط النهاية.
2. إعطاء الأولوية لترقيع الأنظمة التي تشغّل Internet Explorer وتطبيقات Microsoft Office.
3. حظر تنفيذ محتوى MSHTML من المصادر غير الموثوقة عبر Group Policy.
إرشادات التصحيح:
4. نشر التحديثات عبر WSUS/SCCM/Intune والتأكد من تطبيق التحديثات التراكمية ليناير 2019.
5. التحقق من نشر التحديث باستخدام: wmic qfe list | findstr KB4480959
6. ترقيع جميع إصدارات Windows المدعومة.
ضوابط التعويض (في حال تأخر التصحيح):
7. تعطيل Internet Explorer أو تقييد استخدامه عبر Group Policy.
8. تفعيل Protected View في Microsoft Office لجميع المستندات الخارجية.
9. نشر قواعد Attack Surface Reduction لمنع تطبيقات Office من إنشاء عمليات فرعية.
10. تفعيل Windows Defender Exploit Guard للحد من الاستغلال.
11. حظر تنفيذ وحدات الماكرو في مستندات Office القادمة من الإنترنت.
قواعد الكشف:
12. مراقبة العمليات الفرعية المشبوهة الصادرة عن تطبيقات Office.
13. تفعيل تنبيهات Windows Defender ATP لمحاولات استغلال MSHTML.
14. نشر قواعد YARA/Snort لاستهداف حمولات MSHTML الخبيثة في مرفقات البريد الإلكتروني.
15. مراقبة حركة الشبكة للاتصالات الصادرة غير المعتادة عقب فتح مستندات Office.
📋 خريطة الامتثال التنظيمي
🟢 NCA ECC 2024
ECC-1-4-2: Patch Management and Vulnerability Management
ECC-1-4-3: Protection from Malicious Code
ECC-2-3-1: Email Security Controls
ECC-2-5-1: Endpoint Security
ECC-3-3-3: Secure Configuration Management
🔵 SAMA CSF
Cybersecurity Operations — Vulnerability Management (3.3.5)
Cybersecurity Operations — Patch Management (3.3.6)
Endpoint Security — Malware Protection (3.3.9)
Email Security Controls (3.3.11)
Threat Intelligence and Incident Response (3.3.14)
🟡 ISO 27001:2022
A.8.8 — Management of Technical Vulnerabilities
A.8.7 — Protection Against Malware
A.8.19 — Installation of Software on Operational Systems
A.8.20 — Networks Security
A.5.30 — ICT Readiness for Business Continuity
🟣 PCI DSS v4.0
Requirement 6.3.3 — All system components are protected from known vulnerabilities by installing applicable security patches
Requirement 5.2 — Malicious software (malware) is prevented or detected and addressed
Requirement 12.3.2 — Targeted risk analysis for each PCI DSS requirement
🔗 المراجع والمصادر 0
لا توجد مراجع.
📦 المنتجات المتأثرة 1 منتج
Microsoft:MSHTML