近期，微软发布了一项针对 SharePoint Server 的紧急带外补丁，以修复编号为 CVE-2026-45659 的远程代码执行漏洞。该漏洞 CVSS 评分高达 8.8，虽然目前尚未监测到大规模在野利用，但鉴于其高危属性及 SharePoint 在企业内网环境中的核心地位，安全团队必须给予高度重视。
深入剖析：漏洞原理与攻击链
从我们的应急响应经验来看，此次漏洞的核心在于 Microsoft Office SharePoint 对不可信数据的反序列化处理不当。这意味着，攻击者只要拥有最低限度的“站点成员”权限，即可向 SharePoint 发送恶意构造的数据包。
这种攻击方式的“低门槛”特性令人担忧：攻击者无需管理员权限，无需交互，且攻击复杂度极低。一旦成功，攻击者便能在服务器上执行任意代码，进而完全接管该服务器。在实战中，我们经常发现企业内部对“已认证用户”的权限管控存在盲区，不少企业认为只要是内网用户或拥有基础账号的用户就是“可信”的，而忽视了账号被窃取或恶意内鬼利用低权限账号进行横向渗透的风险，这一环节是很多企业容易忽视的。
为何 SharePoint 始终是攻击者的首选？
类似攻击近年来明显增加，SharePoint 作为企业协同办公、文档管理和工作流的核心平台，其重要性不言而喻。一旦 SharePoint 被攻破，攻击者不仅能窃取海量的敏感文档、项目数据及员工信息，更因为 SharePoint 往往与 Active Directory、Teams 等关键基础设施深度集成，它极易成为攻击者在内网进行横向移动、扩大战果的“跳板”。
我们曾多次处理过针对 SharePoint 的攻击事件。历史上，诸如 Linen Typhoon、Violet Typhoon 等组织就曾频繁利用 SharePoint 漏洞进行情报窃取；而勒索软件团伙更是将 SharePoint 视为部署勒索程序的理想目标。考虑到很多企业在本地部署（On-premises）的 SharePoint 环境中存在补丁更新不及时、配置陈旧、过度授权等问题，这些服务器在攻击者眼中几乎是“透明”的。
Solar 安全建议与应急响应经验
针对此次 CVE-2026-45659 漏洞，我们建议企业采取以下行动：
第一，立即盘点。迅速清查企业内部所有公开或对内运行的 SharePoint Server 实例，特别是那些暴露在互联网上的资产。
第二，优先修补。不要等待常规的“补丁星期二”更新，鉴于微软此次采取了罕见的“带外补丁”策略，说明该漏洞被利用的潜在风险极高，请务必第一时间完成补丁部署。
第三，收紧权限。基于零信任原则，重新审视 SharePoint 的站点成员权限分配，移除不必要的访问权限，防止低权限账号被滥用。
第四，强化监控。在修复补丁的同时，应重点监测服务器的异常反序列化流量及未授权的执行行为。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com