ملف copilot-searchleakحقن الأوامرالولايات المتحدة
SearchLeak: سلسلة بنقرة واحدة في بحث M365 Copilot المؤسسي تسرّب البيانات عبر Bing
سلسلت Varonis Threat Labs حقن أوامر وحالة تسابق في العرض وSSRF عبر Bing بحيث يجعل رابط مصمم واحد Copilot يجلب بيانات حساسة ويضمّنها في طلب صورة. وأصلحتها Microsoft على جانب الخادم.
عاليةهجوم على الذكاء الاصطناعيالحالة: تم الترقيعملف موثّق
افتح في الخريطة التفاعليةالاستشهاد بهذا الملف
- تاريخ الإبلاغ
- 15 يونيو 2026
- الموقع
- الولايات المتحدة
- الهدف
- بحث Microsoft 365 Copilot المؤسسي
- الخطورة
- عالية
- الجهة المنفذة
- Varonis Threat Labs
- نوع الجهة
- باحثون أمنيون
- الخسارة المُعلنة
- لم يُعلن عن خسارة
- CVE
- CVE-2026-42824
ماذا حدث
سلسلت Varonis Threat Labs حقن أوامر وحالة تسابق في العرض وSSRF عبر Bing بحيث يجعل رابط مصمم واحد Copilot يجلب بيانات حساسة ويضمّنها في طلب صورة. وأصلحتها Microsoft على جانب الخادم.
الأثر: سرقة بنقرة واحدة لبيانات مؤسسية يصل إليها Copilot الضحية؛ ولم يُبلَّغ عن إساءة استخدام فعلية
من نفّذها
الجهة: Varonis Threat Labs
الإسناد: إفصاح مسؤول إلى Microsoft؛ ولم يُبلَّغ عن استغلال
الدافع: بحث أمني
كيف حدثت
أسلوب الهجوم: رابط مصمم يحمل تعليمات محقونة؛ وSSRF عبر Bing لتجاوز ضوابط الخروج؛ وتسريب عبر وسم صورة
السبب الجذري: وثق البحث المؤسسي بالنص المقدم عبر الرابط وعرض روابط صور يتحكم بها المهاجم
التسلسل الزمني
- Microsoft تنشر إصلاحاً على جانب الخادم
- Varonis تنشر SearchLeak
الاستجابة
رقّعت Microsoft على خوادمها؛ ولا إجراء مطلوب من العملاء
الحالة الراهنة: تم الترقيع
المصادر (تُفتح في تبويب جديد)
- Dark Reading darkreading.com
- BeyondMachines beyondmachines.net
- Penligent penligent.ai
الاستشهاد بهذا الملف
SearchLeak: سلسلة بنقرة واحدة في بحث M365 Copilot المؤسسي تسرّب البيانات عبر Bing. AI Threat Watch, ملف copilot-searchleak, 15 يونيو 2026. https://aithreat.io/ar/cases/copilot-searchleak/