CVE-2026-40361

IMMEDIATE ACTIONS:

1. Inventory all Microsoft Office Word installations across the organization

2. Restrict local administrative access and implement principle of least privilege

3. Disable Office macros via Group Policy (User Configuration > Administrative Templates > Microsoft Office > Security Settings)

4. Enable Attack Surface Reduction (ASR) rules in Windows Defender to block Office child processes

5. Implement application whitelisting to prevent unauthorized code execution



COMPENSATING CONTROLS:

6. Isolate Word documents in sandboxed environments before opening untrusted files

7. Deploy email gateway controls to block suspicious Office attachments

8. Implement file integrity monitoring on Office installation directories

9. Enable Enhanced Protected View for all Office documents

10. Monitor process creation events from winword.exe for suspicious child processes



DETECTION RULES:

- Alert on winword.exe spawning cmd.exe, powershell.exe, or rundll32.exe

- Monitor for unusual memory access patterns in Office processes

- Track file modifications in %AppData%\Microsoft\Office directories

- Log all Office document opens from network shares or email



PATCHING GUIDANCE:

- Monitor Microsoft Security Updates regularly for patch availability

- Prepare patch deployment procedures in advance

- Test patches in isolated environments before production deployment

الإجراءات الفورية:

1. حصر جميع تثبيتات Microsoft Office Word عبر المنظمة

2. تقييد الوصول الإداري المحلي وتطبيق مبدأ الامتيازات الأقل

3. تعطيل وحدات Office الماكرو عبر Group Policy (User Configuration > Administrative Templates > Microsoft Office > Security Settings)

4. تفعيل قواعد Attack Surface Reduction في Windows Defender لمنع العمليات الفرعية لـ Office

5. تطبيق القائمة البيضاء للتطبيقات لمنع تنفيذ الأكواد غير المصرح بها



الضوابط البديلة:

6. عزل مستندات Word في بيئات محمية قبل فتح الملفات غير الموثوقة

7. نشر ضوابط بوابة البريد الإلكتروني لحجب مرفقات Office المريبة

8. تطبيق مراقبة سلامة الملفات على أدلة تثبيت Office

9. تفعيل Enhanced Protected View لجميع مستندات Office

10. مراقبة أحداث إنشاء العمليات من winword.exe للعمليات الفرعية المريبة



قواعد الكشف:

- تنبيهات عند قيام winword.exe بإنشاء cmd.exe أو powershell.exe أو rundll32.exe

- مراقبة أنماط الوصول إلى الذاكرة غير العادية في عمليات Office

- تتبع تعديلات الملفات في أدلة %AppData%\Microsoft\Office

- تسجيل جميع فتحات مستندات Office من المشاركات الشبكية أو البريد الإلكتروني



إرشادات التصحيح:

- مراقبة تحديثات أمان Microsoft بانتظام لتوفر التصحيحات

- تحضير إجراءات نشر التصحيحات مسبقاً

- اختبار التصحيحات في بيئات معزولة قبل النشر الإنتاجي