مایکروسافت در اقدامی اضطراری، وصله‌های امنیتی خارج از برنامه را برای رفع یک آسیب‌پذیری «روز صفر» (Zero-day) در مجموعه مایکروسافت آفیس منتشر کرد. این حفره امنیتی که با شناسه CVE-2026-21509 ردیابی می‌شود، پیش از انتشار وصله توسط مهاجمان مورد سوءاستفاده فعال قرار گرفته بود.

---

جزئیات فنی و شدت آسیب‌پذیری

این نقص امنیتی در دسته‌بندی «دور زدن ویژگی‌های امنیتی» (Security Feature Bypass) قرار می‌گیرد و امتیاز شدت ۷.۸ (سطح بالا) را دریافت کرده است.

• علت نقص: عدم اعتبارسنجی صحیح ورودی‌های غیرقابل اعتماد در تصمیم‌گیری‌های امنیتی آفیس.

• هدف حمله: این حفره امنیتی مکانیزم‌های محافظتی OLE (جایگذاری و پیوند اشیاء) را دور می‌زند. این مکانیزم‌ها وظیفه دارند از کاربران در برابر کنترل‌های آسیب‌پذیر COM/OLE محافظت کنند.

• بردار حمله: مهاجم باید قربانی را متقاعد کند تا یک فایل آفیس طراحی‌شده ویژه را باز کند. برخلاف بسیاری از حملات مشابه، بخش پیش‌نمایش (Preview Pane) به عنوان مسیر حمله در این مورد کاربرد ندارد.

---

محصولات تحت تأثیر و نحوه اصلاح

مایکروسافت اعلام کرده است که کاربران نسخه‌های مختلف باید اقدامات متفاوتی انجام دهند:

محصول / نسخه	وضعیت اصلاح	اقدام لازم
Microsoft 365 / Office 2021 و جدیدتر	اصلاح خودکار در سمت سرور	راه‌اندازی مجدد (Restart) برنامه‌های آفیس
Office 2019 (32 و 64 بیتی)	نیازمند نصب وصله دستی	ارتقاء به نسخه 16.0.10417.20095 یا بالاتر
Office 2016 (32 و 64 بیتی)	نیازمند نصب وصله دستی	ارتقاء به نسخه 16.0.5539.1001 یا بالاتر

---

راهکار موقت (تغییر در رجیستری)

در صورتی که امکان به‌روزرسانی آنی وجود ندارد، مایکروسافت یک راهکار کاهش خطر (Workaround) از طریق ویرایش رجیستری ویندوز ارائه داده است:

1. تمام برنامه‌های آفیس را ببندید.

2. به مسیر زیر در Registry Editor بروید (بسته به نسخه آفیس):

   • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

3. یک کلید (Key) جدید با نام {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B} ایجاد کنید.

4. در داخل این کلید، یک مقدار DWORD با نام Compatibility Flags بسازید و مقدار آن را 400 (در مبنای Hex) قرار دهید.

---

واکنش نهادهای امنیتی

آژانس امنیت سایبری و زیرساخت‌های آمریکا (CISA) به دلیل سوءاستفاده فعال از این نقص، آن را به فهرست آسیب‌پذیری‌های شناخته‌شده (KEV) اضافه کرده و به سازمان‌های فدرال دستور داده است تا حداکثر تا ۱۶ فوریه ۲۰۲۶ نسبت به نصب وصله‌ها اقدام کنند.