CISA 警告：兩個 Microsoft Defender 零日漏洞正被攻擊者利用

兩個正在被利用嘅 Microsoft Defender 零日漏洞

2026 年 5 月，美國網絡安全與基礎設施安全局（CISA）將兩個 Microsoft Defender 漏洞加入 Known Exploited Vulnerabilities（KEV）目錄，代表安全機構已確認這些漏洞正在現實攻擊中被利用。兩個漏洞分別是 CVE‑2026‑41091 同 CVE‑2026‑45498。

KEV 目錄係 CISA 用嚟提醒政府機構同企業優先修補高風險漏洞嘅官方清單。一旦漏洞被列入，聯邦機構通常需要在指定期限內完成修補或採取緩解措施。

---

CVE‑2026‑41091：本地權限提升漏洞

CVE‑2026‑41091 係一個 Microsoft Defender 權限提升（Elevation of Privilege）漏洞。

漏洞成因係 Defender 在存取檔案之前錯誤解析連結（link following）。如果系統處理檔案時未正確處理符號連結或捷徑，就可能被利用去指向其他敏感位置。

主要特點包括：

• 類型：本地權限提升（Local Privilege Escalation）
• CVSS 3.1 評分：7.8（高危）
• 利用條件：攻擊者需要已取得本地存取權限
• 成功利用結果：可升級至 SYSTEM 權限，即 Windows 最高級別權限

一旦攻擊成功，攻擊者基本上可以完全控制系統，包括安裝程式、讀寫敏感資料或建立新管理員帳戶。

---

CVE‑2026‑45498：拒絕服務漏洞

另一個漏洞 CVE‑2026‑45498 則屬於 拒絕服務（Denial‑of‑Service, DoS） 類型。

公開資料顯示，該漏洞可令 Microsoft Defender 出現服務中斷或無法正常運作的情況。

目前已知資訊包括：

• 類型：拒絕服務漏洞
• 影響：可能令 Defender 無法運作或停止提供防護
• CVSS 評分：NVD 尚未提供官方評分

雖然技術細節未完全公開，但這類漏洞嘅風險在於 令防毒系統失效，為後續惡意程式或攻擊鋪路。

---

CISA KEV 加入與修補期限

CISA 在 2026 年 5 月 20 日 將包括上述兩個漏洞在內嘅七個漏洞加入 KEV 清單，因為已有證據顯示它們被攻擊者利用。

對於某些漏洞（例如 CVE‑2026‑45498），KEV 記錄列出：

• 加入日期：2026‑05‑20
• 修補期限：2026‑06‑03

根據 CISA 的 BOD 22‑01（Binding Operational Directive），美國聯邦政府機構需要在期限前修補漏洞或採取緩解措施，例如：

• 安裝供應商安全更新
• 停用受影響功能
• 隔離或停用相關系統

雖然這些要求主要針對政府機構，但 CISA 同時建議所有企業與組織優先處理 KEV 中的漏洞。

---

受影響組件與版本

目前公開資料顯示，漏洞與以下 Defender 元件相關：

• Microsoft Malware Protection Engine（Defender 掃描與偵測核心）
• Microsoft Defender Antimalware Platform

部分報告指出，漏洞影響 Malware Protection Engine 舊版本，例如 1.1.26040.8 之前版本。

不過，完整受影響版本範圍、更新部署細節以及完整技術分析目前仍未完全公開。

---

目前仍未公開嘅細節

截至目前資料，仍有幾個重要技術資訊未完全披露：

• CVE‑2026‑45498 的完整 CVSS 評分
• DoS 攻擊具體觸發機制
• 完整 Defender 或 Malware Protection Engine 受影響版本列表
• 微軟更新推出時間與部署細節

安全機構通常會延遲公開部分技術細節，以避免攻擊者更容易複製攻擊。

---

重點總結

2026 年 5 月曝光嘅兩個 Microsoft Defender 零日漏洞顯示，即使是內建安全工具亦可能成為攻擊入口：

• CVE‑2026‑41091：本地權限提升漏洞（CVSS 7.8）
• CVE‑2026‑45498：拒絕服務漏洞
• 兩者均已被確認在實際攻擊中利用
• CISA 已將其加入 KEV 目錄並要求優先修補

對企業 IT 團隊而言，最重要的防禦措施仍然是 及時套用安全更新與維持 Defender 平台最新版本。