微軟緊急修補 SharePoint 全新 RCE 漏洞 CVE-2026-45659，攻擊難度低且無需使用者互動

用白話說，SharePoint 伺服器會接收並處理使用者傳來的複雜資料「包裹」。這個漏洞讓攻擊者可以精心製作一個惡意包裹，當伺服器進行「拆封」（反序列化）時，就會執行攻擊者指定的任何程式碼，達到遠端控制。

這個漏洞在技術指標上的每一項都指向「易於攻擊」：

• CVSS 3.1 風險評分： 8.8 分（高風險）。
• 攻擊途徑： 透過網路即可進行 。
• 攻擊難度： 低。攻擊者不需要事先掌握任何特殊環境知識 。
• 所需權限： 低。攻擊者僅需具備該 SharePoint 網站最基本的「網站成員（Site Member）」權限 。
• 使用者互動： 不需要。這意味著攻擊可以在不驚動任何使用者的情況下，由攻擊者單方面發動 。
• 影響衝擊： 對機密性、完整性、可用性均造成高度衝擊，一旦攻擊成功，可能導致整台伺服器被完全控制，並引發大規模資料外洩 。

這種「低權限、無需互動、網路可及」的組合，讓它成為攻擊者的理想目標。任何一個標準使用者帳號被盜，都可能成為癱瘓整個 SharePoint 服務的突破口。

受影響的版本

這是一個只影響「本地自建部署（On-premises）」的問題，微軟的雲端服務 SharePoint Online 不受此漏洞影響 。

管理員需要立即檢查以下三個版本的 SharePoint 伺服器，並確認更新後的版號：

• Microsoft SharePoint Server 訂閱版 (Subscription Edition)：需更新至 16.0.5552.1002 或更高版本
• Microsoft SharePoint Server 2019：需更新至 16.0.10417.20128 或更高版本
• Microsoft SharePoint Enterprise Server 2016：需更新至 16.0.5552.1002 或更高版本

該安全修補程式於 2026 年 5 月 12 日作為標準安全更新的一部分提供，但在其嚴重性被進一步釐清後，微軟對它做了更詳盡的說明與強調 。

冰山一角：持續浮現的 SharePoint 反序列化攻擊潮

CVE-2026-45659 並非單一事件，而是近年來針對 SharePoint 本地部署版本一連串高強度反序列化漏洞攻擊的最新案例。

一個最具代表性的前例是 CVE-2026-20963，這個相似的漏洞擁有高達 9.8 的 CVSS 風險評分，極度危險。美國的聯邦機構——網路安全暨基礎設施安全局（CISA，相當於我國的數位發展部資安署）——在確認該漏洞已被用於實際攻擊後，於 2026 年 3 月 18 日正式將其列入「已知遭利用漏洞」（Known Exploited Vulnerabilities, KEV）目錄中，強制聯邦機關限期修補 。更驚人的是，根據歐盟 CERT-EU 的報告，微軟後來甚至更新了該漏洞的資安公告，將攻擊條件從「需經過驗證」修正為「無需身份驗證的攻擊者也能利用」，意味著任何人都可以直接發動攻擊 。

其他相關漏洞，例如 CVE-2026-33110，同樣涉及不受信任資料的反序列化，並且影響相同的產品線 。這一連串事件傳遞了極為明確的訊號：攻擊者與資安研究人員正高度聚焦在 SharePoint 的反序列化機制上，高風險漏洞正以驚人的頻率被發現。這讓即時且全面的修補，成為 SharePoint 管理員不可妥協的底線。

防禦與緩解策略

雖然安裝修補程式是唯一根本的解決方案，但採用「縱深防禦」策略能為組織帶來更多保障。針對必須自行維運 SharePoint 伺服器的企業，以下是建議的應變步驟：

1. 立即安裝修補程式：這是最重要且無可取代的動作。請立即找到並部署符合你 SharePoint 版本的特定安全更新，尤其優先處理任何直接對外開放網際網路的伺服器 。
2. 清查並緊縮使用者權限：既然 CVE-2026-45659 僅需「網站成員」等級的低階權限就能發動攻擊，徹底檢視所有使用者的權限設定就變得至關重要。務必遵循「最小權限原則」，移除所有不再需要或不必要的存取權 。
3. 強化伺服器監控機制：部署端點偵測與回應系統（EDR），密切注意攻擊成功後的異常活動。資安團隊應特別留意：從 SharePoint 應用程式集區（w3wp.exe）產生的可疑程序、不尋常的對外網路連線或 Web Shell，以及服務帳號的異常行為。
4. 確認其他相關漏洞的修補狀況：修補 CVE-2026-45659 是必須的，但如果伺服器仍未修補已被用於實際攻擊的 CVE-2026-20963，那它依然是漏洞百出。請利用這次的修補週期，一口氣確認所有相關的 SharePoint 安全更新都已完裝 。
5. 減少曝險面積：如果 SharePoint 伺服器不需要從公眾網路存取，務必執行網路層級的存取限制，阻斷所有外部連線。對於必須對外公開的服務，確保其後方設置了 Web 應用程式防火牆（WAF），並設定能阻擋常見反序列化攻擊的規則。