Microsoft Defender 零日漏洞 CVE‑2026‑41091、CVE‑2026‑45498 已被實際攻擊利用

Microsoft 喺 2026 年 5 月 20 日發佈一個緊急（out‑of‑band）安全更新，修補兩個已經喺真實攻擊中被利用嘅 Microsoft Defender 漏洞：CVE‑2026‑41091 同 CVE‑2026‑45498。呢兩個漏洞影響 Windows 系統內置嘅 Defender 防毒與端點保護組件，而且已被加入 CISA 嘅 Known Exploited Vulnerabilities（KEV）目錄，代表已有實際攻擊證據，需要盡快修補。

雖然兩個漏洞嘅技術細節唔一樣，但共同點係：佢哋都影響企業同個人電腦最核心嘅安全防護工具之一——Microsoft Defender。

5 月 20 日修補嘅兩個 Defender 零日漏洞

CVE‑2026‑41091 — Microsoft Defender 本地權限提升漏洞

CVE‑2026‑41091 係一個典型嘅 link‑following 漏洞。問題出喺 Defender 喺存取檔案之前，未正確處理檔案連結（例如 symbolic link 或其他檔案系統重導）。

簡單講，如果系統入面有惡意建立嘅檔案連結，Defender 有機會跟住呢個連結去操作另一個本來受保護嘅檔案。

由於 Defender 會以 高權限（SYSTEM） 執行部分掃描或檔案操作，一個已登入系統嘅低權限使用者可以利用呢個行為，將自己嘅權限提升到 SYSTEM 等級，即係完全控制整部電腦。

漏洞重點包括：

• 類型：不正確檔案連結解析（link‑following）
• 影響：本地權限提升至 SYSTEM
• CVSS v3.1 評分：7.8（高風險）
• 攻擊條件：需要本地已認證帳戶，唔係遠端直接入侵

實際攻擊通常會涉及：

• 建立惡意 symbolic link、junction 或 reparse point
• 觸發 Defender 去讀取或修改該檔案
• 將操作導向受保護嘅系統路徑

呢類漏洞經常會被黑客用作 攻擊鏈入面嘅權限提升步驟。

CVE‑2026‑45498 — Microsoft Defender 拒絕服務漏洞

第二個漏洞 CVE‑2026‑45498 係一個 拒絕服務（Denial‑of‑Service, DoS）漏洞。公開技術資料目前只描述為 Defender 入面一個未公開細節嘅弱點，可以導致服務中斷。

成功利用後可能造成：

• Defender 組件崩潰
• 惡意程式掃描被中斷
• 即時保護暫時失效

由於 Defender 提供即時端點防護，如果攻擊者可以令佢停運，即可能出現一段 沒有防護監測嘅時間窗口，方便惡意程式或後續攻擊行動進行。

目前公開資料未披露具體攻擊方式。

已有實際攻擊利用嘅證據

Microsoft 已確認 兩個漏洞都已經被攻擊者喺真實環境利用，因此先會發佈緊急更新。

支持呢個結論嘅證據包括：

• 兩個 CVE 已被加入 CISA Known Exploited Vulnerabilities（KEV）目錄
• 安全媒體報導 Microsoft 已確認漏洞正被攻擊者利用
• 多個漏洞追蹤平台標示為 actively exploited

不過，截至公開資訊，仍未見到完整 exploit 程式、入侵指標（IOC）或受害者統計資料。

受影響系統與 Defender 組件

呢兩個漏洞主要影響 Microsoft Defender 組件，而唔係特定 Windows 版本。因此只要運行受影響 Defender 版本嘅 Windows 系統都可能受影響，例如：

• Windows 11 電腦
• Windows Server 部署
• 使用 Microsoft Malware Protection Engine 嘅企業端點

安全通告指出，受影響版本包括：

• Malware Protection Engine 早於 1.1.26040.8
• Microsoft Defender 平台早於 4.18.26040.7

要留意一點：Defender 引擎同平台更新 唔一定跟 Windows 系統更新同步。所以單純更新 Windows 並唔保證已修補漏洞，管理員需要直接檢查 Defender 版本。

與「Nightmare‑Eclipse」活動嘅可能關係

近期安全研究亦提到一個被稱為 Nightmare‑Eclipse（又名 Chaotic Eclipse） 嘅威脅行動。研究指該組織喺 2026 年持續釋出多個針對 Windows 同 Defender 嘅漏洞利用工具。

相關報告形容呢個行動係一連串針對 Microsoft 生態系統嘅零日漏洞釋出事件。

不過目前公開證據 未能證實 CVE‑2026‑41091 或 CVE‑2026‑45498 與該活動有直接關聯。現有資訊只顯示 Defender 正成為多個漏洞研究與攻擊活動嘅焦點。

建議修補與防禦措施

對於使用 Windows 同 Microsoft Defender 嘅組織，呢兩個漏洞應該被視為 高優先級修補項目。

建議行動包括：

• 安裝 5 月 20 日發佈嘅 Defender 平台同引擎更新
• 檢查所有端點 Defender 版本，而唔只係 Windows 更新狀態
• 優先修補 多用戶系統、伺服器、VDI 環境同開發者電腦
• 監控 Defender 異常行為，例如服務崩潰或突然重啟
• 留意可疑檔案系統項目，例如 symbolic link 或 reparse point

如果短期內未能更新系統，可以暫時採取以下風險降低措施：

• 限制本地登入權限
• 減少使用者管理員權限
• 加強端點安全監控

點解 Defender 漏洞特別危險

端點防護工具本身出現漏洞，風險通常會更高。

原因係 Defender 與 Windows 系統深度整合，而且大量操作都以高權限執行。一旦檔案處理或服務邏輯出現漏洞，就可能被攻擊者利用，變成 攻擊入口而唔係防禦工具。

5 月 20 日嘅緊急更新再次提醒企業與系統管理員：安全工具本身亦需要持續更新同監控。最有效嘅防禦措施，仍然係盡快部署最新 Defender 更新，縮短漏洞被利用嘅時間窗口。