‏مایکروسافت عقب‌نشینی کرد: تهدید قانونیِ محققای امنیت پس گرفته شد

مایکروسافت به موجی از انتقادها پاسخ داده که بعد از تهدیدش به اقدام قانونی علیه محققایی که زیرودی‌ها (آسیب‌پذیری‌های وصله‌نشده) رو بدون اطلاع‌رسانیِ هماهنگ به‌صورت عمومی افشا می‌کنن، راه افتاده بود.

ماجرا به یه محقق برمی‌گرده که آنلاین با اسمای Chaotic Eclipse و Nightmare Eclipse شناخته می‌شه و چند هفتهٔ اخیر جزئیات و اکسپلویتِ اثبات مفهوم (PoC) چند آسیب‌پذیریِ وصله‌نشدهٔ محصولات مایکروسافتو منتشر کرده. ظاهراً وسط یه فرایند افشای آسیب‌پذیری بین محقق و مایکروسافت اختلاف پیش اومده و بعدش محقق تصمیم گرفته جزئیات چند باگی که اصلاً به مایکروسافت گزارش نشده بودنو بیرون بده.

این فهرست شامل RedSun (با شناسهٔ CVE-2026-41091)، UnDefend (CVE-2026-45498)، BlueHammer (CVE-2026-33825)، YellowKey (CVE-2026-45585) و همین‌طور GreenPlasma و MiniPlasma می‌شه. بیشترشون برای ارتقای سطح دسترسی قابل بهره‌برداری هستن؛ YellowKey به مهاجم اجازه می‌ده محافظتِ BitLocker رو دور بزنه و UnDefend یه آسیب‌پذیریِ منع سرویس (DoS) رو Microsoft Defender هست. مایکروسافت شروع به انتشار وصله و mitigation کرده، ولی چندتاشون از جمله BlueHammer، RedSun و UnDefend قبلاً تو دنیای واقعی بهره‌برداری شدن.

محقق به‌شدت از مایکروسافت ناراضیه و شرکتو متهم می‌کنه که تحقیرش کرده، پیاماشو نادیده گرفته، بابت باگای گزارش‌شده پولی نداده و علناً بهش تهمت زده. مایکروسافت هم از روشِ Nightmare Eclipse ناراضیه و می‌گه محقق مشتری‌ها رو در معرض ریسکِ غیرضروری گذاشته. شرکت حساب کاربریِ اونو هم رو پورتال گزارش آسیب‌پذیری و هم رو گیت‌هاب — که مالکشه و PoCها اون‌جا منتشر شده بودن — غیرفعال کرده.

نقطهٔ جنجالی یه جملهٔ مایکروسافت تو پستِ ۲۷ مه بود که گفت واحد جرایم دیجیتالش به طرح پرونده علیه این بازیگرا و کسایی که فعالیت مجرمانه‌شونو ممکن می‌کنن ادامه می‌ده و در صورت نیاز با مجریِ قانونِ سراسر دنیا هماهنگ می‌کنه. خیلیا تو جامعهٔ امنیت اینو تهدید به اقدام قانونی برای افشای باگ تعبیر کردن. به گفتهٔ Kevin Beaumont، اون از این‌که مایکروسافت بخواد روابط گستردهٔ خودش با مجریِ قانونو برای دستگیریِ آدمایی که زیرودی منتشر می‌کنن «تسلیحاتی» کنه عمیقاً ناراحته.

فلوریان روث، رئیس تحقیقات Nextron Systems، می‌گه شاید Nightmare Eclipse غیرمنطقی بوده، شاید مایکروسافت، شاید هر دو؛ ولی به نظرش مایکروسافت بدجوری این وضعیتو بد مدیریت کرده. اون می‌گه وقتی بزرگ‌ترین فروشندهٔ نرم‌افزار دنیایی، نباید مثل یه آدم عصبانی تو یه دعوای اینترنتی رفتار کنی؛ پاک کردن ریپوها و حرف زدن از تحقیقات جناییْ یه اشتباه بوده که آسیبش خیلی فراتر از این یه محقق می‌ره.

مایکروسافت در واکنش به این انتقادها، اول ژوئن رو X توضیح داد و گفت قدردانِ جامعهٔ تحقیقاتِ امنیته و «هیچ قصدی برای پیگیریِ اقدام علیه افرادی که تحقیق امنیتی انجام می‌دن یا منتشر می‌کنن» نداره، و فقط وقتی کسی قانونو بشکنه و فعالیت مخربی انجام بده که به مشتری‌ها آسیب واقعی بزنه با مجریِ قانون کار می‌کنه. با این حال خودِ Nightmare Eclipse رو X گفته که مایکروسافت واقعاً بابت این افشاها علیه‌ش شکایت قانونی ثبت کرده. این محقق قصد داره اواخر همین ماه یه دور زدنِ کاملِ BitLocker رو هم منتشر کنه.

نکات کلیدی:

• محقق Nightmare Eclipse جزئیات و PoC چند زیرودیِ وصله‌نشدهٔ مایکروسافتو افشا کرد
• باگا شامل RedSun، UnDefend، BlueHammer و YellowKey می‌شن که بیشترشون ارتقای دسترسی می‌دن
• جملهٔ مایکروسافت دربارهٔ واحد جرایم دیجیتال، تهدید به پیگرد قانونی تعبیر شد
• چهرهای امنیتی مثل Beaumont و Florian Roth مدیریتِ ماجرا رو اشتباه دونستن
• مایکروسافت بعداً گفت قصد اقدام علیه خودِ تحقیق امنیتی رو نداره، ولی محقق می‌گه واقعاً ازش شکایت شده