امروز Patch Tuesday نوامبر 2025 مایکروسافت است که شامل بهروزرسانیهای امنیتی برای ۶۳ نقص، از جمله یک صفرروز بهصورت فعال مورد بهرهبرداری، میباشد.
این Patch Tuesday چهار آسیب «بحرانی» را نیز شامل میشود؛ دو مورد از آنها آسیب اجرای کد از راه دور هستند، یک مورد ارتقای امتیاز و مورد چهارم یک نقص افشای اطلاعات است.
تعداد نقصها در هر دستهبندی در زیر آورده شده است:
- ۲۹ آسیب ارتقای امتیاز
- ۲ آسیب دور زدن ویژگیهای امنیتی
- ۱۶ آسیب اجرای کد از راه دور
- ۱۱ آسیب افشای اطلاعات
- ۳ آسیب انکار سرویس
- ۲ آسیب جعل
هنگامی که BleepingComputer درباره بهروزرسانیهای امنیتی Patch Tuesday گزارش میدهد، ما تنها بهروزرسانیهای منتشر شده امروز توسط مایکروسافت را محاسبه میکنیم. بنابراین تعداد نقصها شامل آسیبهای Microsoft Edge و Mariner که در اوایل این ماه برطرف شدهاند، نمیشود.
امروز همچنین اولین بهروزرسانی امنیتی گسترشیافته (ESU) برای Windows 10 است؛ بنابراین اگر همچنان از این سیستمعامل پشتیبانینشده استفاده میکنید، شدیداً توصیه میشود به Windows 11 ارتقا یابید یا در برنامه ESU ثبتنام کنید.
برای کاربرانی که در ثبتنام در برنامه دچار مشکل هستند، مایکروسافت امروز بهروزرسانی خارج از زمان برنامه (out‑of‑band) منتشر کرد تا خطایی را که مانع ثبتنام میشود، برطرف کند.
برای آگاهی بیشتر درباره بهروزرسانیهای غیرامنیتی منتشرشده امروز، میتوانید مقالات اختصاصی ما درباره بهروزرسانیهای Windows 11 KB5066835 و KB5066793 و بهروزرسانی امنیتی گسترشیافته Windows 10 KB5068781 را مرور کنید.
اگر با تاخیرها، نقاط کور یا مشکلات اولویتبندی در بهروزرسانیهای Patch Tuesday مواجه هستید، در وبینار ۲ دسامبر با Action1 شرکت کنید تا ببینید مدیریت مدرن پچها چگونه بهسرعتتر پچ میکند و ریسک را کاهش میدهد.
۱ صفرروز بهصورت فعال مورد بهرهبرداری
Patch Tuesday این ماه یک نقص صفرروز فعالانه مورد بهرهبرداری در هسته ویندوز را برطرف میکند.
مایکروسافت یک نقص صفرروز را به عنوان نقصی که بهصورت عمومی افشا شده یا فعالانه مورد بهرهبرداری قرار گرفته است، در حالی که هنوز رفع رسمیای در دسترس نیست، طبقهبندی میکند.
صفرروز مورد بهرهبرداری عبارت است از:
CVE-2025-62215 – آسیب ارتقای امتیاز هسته ویندوز
مایکروسافت نقصی در هسته ویندوز را که برای بهدست آوردن امتیاز SYSTEM در دستگاههای ویندوز مورد بهرهبرداری قرار گرفته بود، رفع کرده است.
مایکروسافت توضیح میدهد: «اجرای همزمان با استفاده از منبع مشترک و همگامسازی نادرست («شرط مسابقه» یا race condition) در هسته ویندوز، به یک مهاجم مجاز امکان ارتقای امتیاز بهصورت محلی را میدهد.»
مایکروسافت میگوید این نقص مستلزم این است که مهاجم در شرط مسابقه (race condition) پیروز شود تا امتیاز SYSTEM را به دست آورد.
مایکروسافت این نقص را به مرکز اطلاعات تهدید مایکروسافت (MSTIC) و مرکز پاسخ به امنیت مایکروسافت (MSRC) نسبت داده است؛ اما نحوه بهرهبرداری از این نقص را منتشر نکرده است.
بهروزرسانیهای اخیر سایر شرکتها
سایر فروشندگانی که در نوامبر ۲۰۲۵ بهروزرسانیها یا اطلاعیههایی منتشر کردند عبارتند از:
- Adobe بهروزرسانیهای امنیتی برای InDesign، InCopy، Photoshop، Illustrator، Substance 3D، Pass و Adobe Format منتشر کرد.
- Cisco پچهای متعددی برای محصولات مختلف از جمله Cisco ASA، Unified Contact Center و Identity services منتشر کرد. همچنین سیسکو این ماه هشدار داد که حملهای جدید کشف شده است که از نقصهای قبلی سوءاستفاده میکند.
- expr-eval توسعهدهندگان این کتابخانه پچهایی برای رفع یک آسیب بحرانی اجرای کد از راه دور (RCE) در کتابخانه JavaScript منتشر کردند.
- Fortinet بهروزرسانی امنیتی برای یک نقص ارتقای امتیاز با شدت متوسط در FortiOS منتشر کرد.
- Google بیانیه امنیتی نوامبر اندروید را با رفع دو آسیب منتشر کرده است.
- Ivanti بهروزرسانیهای امنیتی را بهعنوان بخشی از Patch Tuesday نوامبر ۲۰۲۵ منتشر کرد.
- runC بهروزرسانیهای امنیتی، نقصهایی را که به مهاجمان امکان خروج از کانتینرهای Docker و Kubernetes را میداد، برطرف میکند.
- QNAP بهروزرسانیهای امنیتی برای هفت آسیب صفرروز که در طول مسابقهٔ هک Pwn2Own Ireland 2025 برای نفوذ به دستگاههای ذخیرهسازی متصل به شبکه (NAS) مورد استفاده قرار گرفتند، منتشر کرد.
- SAP بهروزرسانیهای امنیتی نوامبر برای محصولات متعدد را منتشر کرد، از جمله رفع نقص اعتبارهای سختکد شده ۱۰/۱۰ در SQL Anywhere Monitor.
- Samsung بهروزرسانیهای امنیتی نوامبر خود را با رفع ۲۵ نقص منتشر کرد.
بهروزرسانیهای امنیتی Patch Tuesday نوامبر ۲۰۲۵
در ادامه فهرست کامل آسیبهای برطرف شده در بهروزرسانیهای Patch Tuesday نوامبر ۲۰۲۵ آمده است.
برای دسترسی به توصیف کامل هر آسیب و سیستمهای تحت تأثیر آن، میتوانید گزارش کامل را از اینجا مشاهده کنید.
| نام | شناسه CVE | عنوان CVE | شدت |
|---|---|---|---|
| عامل Azure Monitor | CVE-2025-59504 | آسیب اجرای کد از راه دور در عامل Azure Monitor | مهم |
| برنامه بهبود تجربه مشتری (CEIP) | CVE-2025-59512 | آسیب ارتقای امتیاز برنامه بهبود تجربه مشتری (CEIP) | مهم |
| سرویس میدانی Dynamics 365 (online) | CVE-2025-62211 | آسیب جعل سرویس میدانی Dynamics 365 (online) | مهم |
| سرویس میدانی Dynamics 365 (online) | CVE-2025-62210 | آسیب جعل سرویس میدانی Dynamics 365 (online) | مهم |
| GitHub Copilot و ویژوال استودیو کد | CVE-2025-62453 | آسیب دور زدن ویژگیهای امنیتی در GitHub Copilot و ویژوال استودیو کد | مهم |
| فرآیند میزبانی برای وظایف ویندوز | CVE-2025-60710 | آسیب ارتقای امتیاز در فرآیند میزبانی برای وظایف ویندوز | مهم |
| مدیر پیکربندی مایکروسافت | CVE-2025-47179 | آسیب ارتقای امتیاز در مدیر پیکربندی مایکروسافت | مهم |
| Microsoft Dynamics 365 (محلی) | CVE-2025-62206 | آسیب افشای اطلاعات در Microsoft Dynamics 365 (محلی) | مهم |
| مولفه گرافیکی مایکروسافت | CVE-2025-60724 | آسیب اجرای کد از راه دور در مولفه گرافیکی مایکروسافت | مهم |
| Microsoft Office | CVE-2025-62216 | آسیب اجرای کد از راه دور در Microsoft Office | مهم |
| Microsoft Office | CVE-2025-62199 | آسیب اجرای کد از راه دور در Microsoft Office | بحرانی |
| Microsoft Excel | CVE-2025-62200 | آسیب اجرای کد از راه دور در Microsoft Excel | مهم |
| Microsoft Excel | CVE-2025-62201 | آسیب اجرای کد از راه دور در Microsoft Excel | مهم |
| Microsoft Excel | CVE-2025-60726 | آسیب افشای اطلاعات در Microsoft Excel | مهم |
| Microsoft Excel | CVE-2025-62203 | آسیب اجرای کد از راه دور در Microsoft Excel | مهم |
| Microsoft Excel | CVE-2025-62202 | آسیب افشای اطلاعات در Microsoft Excel | مهم |
| Microsoft Excel | CVE-2025-60727 | آسیب اجرای کد از راه دور در Microsoft Excel | مهم |
| Microsoft Excel | CVE-2025-60728 | آسیب افشای اطلاعات در Microsoft Excel | مهم |
| Microsoft Excel | CVE-2025-59240 | آسیب افشای اطلاعات در Microsoft Excel | مهم |
| Microsoft SharePoint | CVE-2025-62204 | آسیب اجرای کد از راه دور در Microsoft SharePoint | مهم |
| Microsoft Word | CVE-2025-62205 | آسیب اجرای کد از راه دور در Microsoft Word | مهم |
| سرویس استریمینگ مایکروسافت | CVE-2025-59514 | آسیب ارتقای امتیاز در پراکسی سرویس استریمینگز مایکروسافت | مهم |
| سیستم تهیه بیسیم مایکروسافت | CVE-2025-62218 | آسیب ارتقای امتیاز در سیستم تهیه بیسیم مایکروسافت | مهم |
| سیستم تهیه بیسیم مایکروسافت | CVE-2025-62219 | آسیب ارتقای امتیاز در سیستم تهیه بیسیم مایکروسافت | مهم |
| درایور سرویس زمانبندی کلاس چندرسانهای (MMCSS) | CVE-2025-60707 | آسیب ارتقای امتیاز در درایور سرویس زمانبندی کلاس چندرسانهای (MMCSS) | مهم |
| Nuance PowerScribe 360 | CVE-2025-30398 | آسیب افشای اطلاعات در Nuance PowerScribe 360 | بحرانی |
| OneDrive برای اندروید | CVE-2025-60722 | آسیب ارتقای امتیاز در OneDrive برای اندروید | مهم |
| Windows Hyper‑V | CVE-2025-60706 | آسیب افشای اطلاعات در Windows Hyper‑V | مهم |
| SQL Server | CVE-2025-59499 | آسیب ارتقای امتیاز در SQL Server | مهم |
| درایور Storvsp.sys | CVE-2025-60708 | آسیب انکار سرویس در درایور Storvsp.sys | مهم |
| ویژوال استودیو | CVE-2025-62214 | آسیب اجرای کد از راه دور در ویژوال استودیو | بحرانی |
| افزونه گفتگوی CoPilot در ویژوال استودیو کد | CVE-2025-62449 | آسیب دور زدن ویژگیهای امنیتی در افزونه گفتگوی CoPilot در ویژوال استودیو کد | مهم |
| افزونه گفتگوی CoPilot در ویژوال استودیو کد | CVE-2025-62222 | آسیب اجرای کد از راه دور در هوش مصنوعی نماینده (Agentic AI) و ویژوال استودیو کد | مهم |
| محافظت مدیر ویندوز | CVE-2025-60721 | آسیب ارتقای امتیاز در محافظت مدیر ویندوز | مهم |
| محافظت مدیر ویندوز | CVE-2025-60718 | آسیب ارتقای امتیاز در محافظت مدیر ویندوز | مهم |
| درایور عملکرد کمکی برای WinSock ویندوز | CVE-2025-62217 | آسیب ارتقای امتیاز در درایور عملکرد کمکی برای WinSock ویندوز | مهم |
| درایور عملکرد کمکی برای WinSock ویندوز | CVE-2025-60719 | آسیب ارتقای امتیاز در درایور عملکرد کمکی برای WinSock ویندوز | مهم |
| درایور عملکرد کمکی برای WinSock ویندوز | CVE-2025-62213 | آسیب ارتقای امتیاز در درایور عملکرد کمکی برای WinSock ویندوز | مهم |
| درایور پروتکل Bluetooth RFCOM ویندوز | CVE-2025-59513 | آسیب افشای اطلاعات در درایور پروتکل Bluetooth RFCOM ویندوز | مهم |
| سرویس کاربری Broadcast DVR ویندوز | CVE-2025-59515 | آسیب ارتقای امتیاز در سرویس کاربری Broadcast DVR ویندوز | مهم |
| سرویس کاربری Broadcast DVR ویندوز | CVE-2025-60717 | آسیب ارتقای امتیاز در سرویس کاربری Broadcast DVR ویندوز | مهم |
| سرویس کش سمت کاربر (CSC) ویندوز | CVE-2025-60705 | آسیب ارتقای امتیاز در سرویس کش سمت کاربر (CSC) ویندوز | مهم |
| درایور سیستم فایل لاگ عمومی ویندوز | CVE-2025-60709 | آسیب ارتقای امتیاز در درایور سیستم فایل لاگ عمومی ویندوز | مهم |
| DirectX ویندوز | CVE-2025-59506 | آسیب ارتقای امتیاز در DirectX ویندوز | مهم |
| DirectX ویندوز | CVE-2025-60716 | آسیب ارتقای امتیاز در DirectX ویندوز | بحرانی |
| DirectX ویندوز | CVE-2025-60723 | آسیب انکار سرویس در DirectX ویندوز | مهم |
| Kerberos ویندوز | CVE-2025-60704 | آسیب ارتقای امتیاز در Kerberos ویندوز | مهم |
| هسته ویندوز | CVE-2025-62215 | آسیب ارتقای امتیاز هسته ویندوز | مهم |
| مدیر مجوز ویندوز | CVE-2025-62208 | آسیب افشای اطلاعات در مدیر مجوز ویندوز | مهم |
| مدیر مجوز ویندوز | CVE-2025-62209 | آسیب افشای اطلاعات در مدیر مجوز ویندوز | مهم |
| OLE ویندوز | CVE-2025-60714 | آسیب اجرای کد از راه دور در OLE ویندوز | مهم |
| Windows Remote Desktop | CVE-2025-60703 | آسیب ارتقای امتیاز در سرویسهای دسکتاپ از راه دور ویندوز | مهم |
| سرویس مسیریابی و دسترسی از راه دور (RRAS) ویندوز | CVE-2025-62452 | آسیب اجرای کد از راه دور در سرویس مسیریابی و دسترسی از راه دور (RRAS) ویندوز | مهم |
| سرویس مسیریابی و دسترسی از راه دور (RRAS) ویندوز | CVE-2025-59510 | آسیب انکار سرویس در سرویس مسیریابی و دسترسی از راه دور (RRAS) ویندوز | مهم |
| سرویس مسیریابی و دسترسی از راه دور (RRAS) ویندوز | CVE-2025-60715 | آسیب اجرای کد از راه دور در سرویس مسیریابی و دسترسی از راه دور (RRAS) ویندوز | مهم |
| سرویس مسیریابی و دسترسی از راه دور (RRAS) ویندوز | CVE-2025-60713 | آسیب ارتقای امتیاز در سرویس مسیریابی و دسترسی از راه دور (RRAS) ویندوز | مهم |
| خواننده کارت هوشمند ویندوز | CVE-2025-59505 | آسیب ارتقای امتیاز در خواننده کارت هوشمند ویندوز | مهم |
| Speech Runtime ویندوز | CVE-2025-59507 | آسیب ارتقای امتیاز در Speech Runtime ویندوز | مهم |
| Speech Recognition ویندوز | CVE-2025-59508 | آسیب ارتقای امتیاز در Speech Recognition ویندوز | مهم |
| Speech Recognition ویندوز | CVE-2025-59509 | آسیب افشای اطلاعات در Speech Recognition ویندوز | مهم |
| زیرسیستم گرافیکی لینوکس برای ویندوز | CVE-2025-62220 | آسیب اجرای کد از راه دور در زیرسیستم گرافیکی لینوکس برای ویندوز | مهم |
| درایور TDX.sys ویندوز | CVE-2025-60720 | آسیب انکار سرویس در درایور TDX.sys ویندوز | مهم |
| سرویس WLAN ویندوز | CVE-2025-59511 | آسیب ارتقای امتیاز در سرویس WLAN ویندوز | مهم |