הערה
- תאריך פרסום מקורי: ינואר 13, 2026
- מזהה KB: 5074952
במאמר זה
- מבוא
- Summary
- ציר זמן של שינויים
- נקוט פעולה!
- רישום אירועים
- סיכום צעדי הפעולה (ינואר – אפריל 2026)
- יומן רישום שינויים
מבוא
שירותי הפריסה של Windows (WDS) תומכים בפריסה מבוססת רשת של מערכות ההפעלה של Windows. תכונה נפוצה בשימוש — פריסה באמצעות שימוש בידיים — מסתמכת על קובץ תשובה (המכונה גם קובץ Unattend.xml) כדי להפוך את מסכי ההתקנה, כולל אישורים, לאוטומטיים.
הערה
- סיכון אבטחה: כאשר קובץ unattend.xml משודר בערוץ RPC לא מאומת (לא מאובטח), הוא עלול לחשוף נתונים רגישים ולהוות סיכון פוטנציאלי לגניבת אישורים או לביצוע קוד מרחוק. תוקפים באותה רשת יכולים ליירט קובץ זה, מה שמוביל לפגיעה באישורים או לביצוע קוד מרחוק.
- כדי להקשיח את האבטחה, Microsoft מסירה את התמיכה בפריסה ללא ידיים בערוצים לא מאובטחים. שינוי זה ייפרס בשני שלבים.
Summary
כדי לצמצם פגיעות פוטנציאלית וסיכוני אבטחה וכדי להקשיח את האבטחה, Microsoft מסירה את התמיכה בפריסה ללא ידיים בערוצים לא מאובטחים כברירת מחדל.
לקבלת מידע נוסף על הפגיעות, ראה CVE-2026-0386.
הערה
חשוב: פגיעות זו אינה משפיעה על Microsoft Configuration Manager. הבעיה חלה רק על תרחישים מקוריים של שירותי הפריסה של Windows (WDS) שבהם מתבצעת הפניה לקובץ Unattend.xml ונחשף דרך המיקום המשותף RemoteInstall . מנהל התצורה אינו מסתמך על מנגנון זה; הוא משתמש ב- WDS אך ורק כדי לספק קבצי boot.wim ו- Bootstrap ברשת (NBP), שאינם מושפעים.
ציר זמן של שינויים
מיקרוסופט תשיק את שינויי ההקשחה בשני שלבים.
שלב 1 (13 בינואר 2026): ממשיכה לתמוך בפריסה ללא שימוש בידיים וניתן להשבית אותה באופן מפורש כדי לשפר את האבטחה.
- התראות יומן אירועים הוצגו.
- אפשרויות מפתח רישום זמינות לבחירה במצב מאובטח או לא מאובטח.
שלב 2 (14 באפריל 2026): פריסה ללא שימוש בידיים אינה זמינה כברירת מחדל, אך ניתן להפעיל אותה מחדש, במידת הצורך, תוך הבנה של סיכוני האבטחה המשויכים
- אופן הפעולה המהווה ברירת מחדל משתנה ל'מאובטח כברירת מחדל'.
- פריסה ללא שימוש בידיים לא תפעל עוד אלא אם כן הגדרות הרישום יעקפו אותן במפורש.
נקוט פעולה!
הערה
חשוב: אם לא ננקטה פעולה (לא נוסף מפתח רישום) בין ינואר לאפריל 2026, הפריסה ללא שימוש בידיים תיחסם לאחר עדכון האבטחה של אפריל 2026.
בסעיף זה:
שלב 1 (13 בינואר 2026)
אפשרות 1: אפשר התנהגות מאובטחת (מומלץ)
כדי לאפשר את צמצום הסיכונים עבור הפגיעות כמתואר ב- CVE-2026-0386 ולהבטיח שהמכשיר שלך מאובטח, החל את עדכון Windows שפורסם ב- 13 בינואר 2026 או לאחר מכן. לאחר מכן, החל את הגדרת הרישום הבאה כדי לאכוף אופן פעולה מאובטח.
| מיקום הרישום | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\ Providers\WdsImgSrv\Unattend |
|---|---|
| שם DWORD | AllowHandsFreeFunctionality |
| נתוני ערך |
00000000
|
| הערות |
|
אפשרות 2: המשך בפריסה ללא שימוש בידיים (לא מאובטח) (לא מומלץ)
אם ברצונך להמשיך להשתמש בפריסה ללא שימוש בידיים, הגדר את ערך מפתח הרישום ל- 1:
| מיקום הרישום | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\ Providers\WdsImgSrv\Unattend |
|---|---|
| שם DWORD | AllowHandsFreeFunctionality |
| נתוני ערך |
00000001
|
| הערה | אם לא ננקטת פעולה כלשהי (לא נוסף מפתח רישום) במהלך ינואר-אפריל, לאחר עדכון האבטחה של אפריל, פריסה ללא שימוש בידיים תיחסם. |
אפשרויות ואופן הפעולה של מפתח הרישום
הטבלה הבאה מסבירה את אופן הפעולה של הגדרת הערך AllowHandsFreeFunctionality ברישום.
| ערך רישום | הערך השכיח | התנהגות | השפעה עתידית |
|---|---|---|---|
| נעדר (ברירת מחדל) | לא מאובטח | עובד בלי ידיים, אבל לא בטוח. הודעות יומן אירועים שהונפקו | יתנתק ללא שימוש בידיים בשחרור עתידי |
| dword:00000000 | מאובטח | חוסם גישה לא מאומתת, פריסה ללא שימוש בידיים תהפוך ללא זמינה | ללא שינוי - גישה לא מאומתת תמשיך להיות חסומה ופריסה ללא שימוש בידיים תישאר לא זמינה |
| dword:00000001 | לא מאובטח | ללא שימוש בידיים נשמר, אך לא בטוח | ללא שינוי - פריסה ללא שימוש בידיים תישאר זמינה, אך לא מאובטחת. |
הערה
הערה בעדכונים עתידיים של Windows, ערך ברירת המחדל AllowHandsFreeFunctionality יאכוף מצב מאובטח אלא אם יעקוף אותו.
שלב 2 (14 באפריל 2026)
פריסה בלי שימוש בידיים מושבתת באופן מלא לתצורת אבטחה כברירת מחדל. מנהלי מערכת יכולים לעקוף את התצורה מתוך הבנה של סיכוני האבטחה המשויכים.
הערה
עדכון השינויים הנ"ל נפרסו באמצעות Windows עדכונים שהופצו ב- 14 באפריל 2026 ואילך. לאחר עדכון זה, תרחישי פריסה ללא שימוש בידיים באמצעות WDS אינם נתמכים עוד. אף על פי שמתועדת גישה חלופית לפריסה באמצעות דיבורית, היא כרוכה בסיכוני אבטחה ידועים ולכן אינה מומלצת.
במהלך שלב זה, אופן הפעולה המהווה ברירת מחדל משתנה למצב מאובטח כברירת מחדל.
אם עליך להמשיך להשתמש בפריסה ללא שימוש בידיים, ראה שלב 1, אפשרות 2(לא מומלץ).
רישום אירועים
אירועים חדשים מתווספים כדי לעזור למנהלי מערכת לנטר את אופן הפעולה של הפריסה.
האירועים הבאים יירשמו ביומן Microsoft-Windows-Deployment-Services-Diagnostics/Debug :
מצב מאובטח
הערה
אזהרה: בקשת קובץ ללא התערבות בוצעה בגלל חיבור לא מאובטח. שירותי הפריסה של Windows חסמו את הבקשה לשמור על אבטחת המערכת. לקבלת מידע נוסף, ראה: https://go.microsoft.com/fwlink/?linkid=2344403
הערה אזהרה זו מופעלת כאשר unattend.xml מתבקש ללא ערוץ מאובטח.
מצב לא מאובטח
הערה
שגיאה: מערכת זו משתמשת בהגדרות לא מאובטחות עבור שירותי הפריסה של Windows. הדבר עלול לחשוף קבצי תצורה רגישים ליירוט. החל את הגדרות האבטחה המומלצות של Microsoft כדי להגן על הפריסה שלך. קבל מידע נוסף ב: https://go.microsoft.com/fwlink/?linkid=2344403
שגיאה זו מופעלת כאשר מתבצעת שאילתה unattend.xml באופן לא מאובטח או כאשר WDS מופעל.
סיכום צעדי הפעולה (ינואר – אפריל 2026)
- סקור את תצורת WDS וזהה שימוש unattend.xml.
- החל את מפתח הרישום המומלץ (AllowHandsFreeDeployment=0) כדי לאכוף פריסה מאובטחת.
- לנטר מציג האירועים עבור אזהרות או שגיאות הקשורות לגישה unattend.xml.
- התכונן למהדורות שלאחר עדכון האבטחה של אפריל 2026 על-ידי הסרת ההסתמכות על פריסה ללא שימוש בידיים.
- לאחר התקנת עדכונים של Windows שהופצו ב- 14 באפריל 2026 או לאחר מכן, תרחישי פריסה ללא ידיים באמצעות WDS אינם זמינים כברירת מחדל ואינם נתמכים עוד.
- מנהלי מערכת יכולים לעקוף תצורה מאובטחת כברירת מחדל כדי שפריסות דיבורית ימשיכו לפעול, אך הדבר אינו מומלץ. מומלץ להשאיר תכונה זו לא זמינה כדי לשמור על תצורה מאובטחת ולעבור לשיטות חלופיות.
יומן רישום שינויים
| שנה תאריך | תיאור השינוי |
|---|---|
| 14 באפריל, 2026 |
|