背景
美國網路安全暨基礎設施安全局（CISA）於 2026 年 9 月 25 日宣布，將兩個分別影響 Microsoft SharePoint 與 MikroTik RouterOS 的資安漏洞加入其「已知遭利用漏洞」（Known Exploited Vulnerabilities，KEV）目錄。KEV 目錄是 CISA 維護的一份官方清單，專門收錄已確認在真實世界遭到攻擊者實際利用的漏洞，而非僅有理論風險的弱點。一旦漏洞進入此目錄，代表已有確鑿的攻擊證據，美國聯邦民間行政部門（FCEB）所屬機構也被要求在必定期限內完成修補。本次列入的兩個漏洞分別是 CVSS 評分 8.8 的 CVE-2026-65660，以及評分 6.9 的 CVE-2026-67279，後者還牽涉一條已被命名為 MikroTrick 的完整攻擊鏈。
SharePoint 漏洞從偽造升級為遠端程式碼執行
CVE-2026-65660 是 Microsoft Office SharePoint 中的程式碼注入（code injection）漏洞，允許已取得授權的攻擊者透過網路在伺服器上執行任意程式碼。值得注意的是，這個漏洞的定性曾經改變：微軟最初在公告中將其描述為影響 SharePoint Server 的偽造（spoofing）漏洞，但隨後更新了安全建議，確認它實際上可被用來達成遠端程式碼執行（Remote Code Execution，RCE）。偽造與 RCE 的嚴重程度差距甚大——前者通常只涉及冒充身分或內容，後者則意味攻擊者能直接在伺服器上執行指令，可能進一步橫向移動、部署惡意程式或竊取資料。微軟在更新後的公告中明確指出，截至 2026 年 9 月 25 日，已掌握此漏洞遭實際攻擊利用的可靠證據。
不過，微軟目前揭露的資訊仍然有限。官方並未說明攻擊者是誰、攻擊始於何時、有多少組織成為目標、其中多少入侵行動成功，也未交代攻擊者進入受害服務後做了什麼。對資安團隊而言，這意味著除了儘快修補之外，若環境中存在對外暴露或存取控管鬆散的 SharePoint Server，也應回頭檢視日誌，確認是否已有可疑活動的痕跡。
MikroTrick 攻擊鏈：兩個漏洞跨越信任邊界
第二個被列入 KEV 的漏洞 CVE-2026-67279，則是 MikroTik RouterOS 中「不當執行行為工作流程」（improper enforcement of behavioral workflow）的缺陷，允許未經身分驗證的客戶端開啟工作階段通道（session channel）並送出 exec 執行請求。RouterOS 是 MikroTik 路由器使用的作業系統，廣泛部署於中小企業、網路服務商與家用進階環境，許多設備直接暴露在網際網路上，使其成為攻擊者長期覬覦的目標。
根據波蘭電腦緊急應變小組 CERT Polska 的分析，CVE-2026-67279 並非單獨運作，而是與另一個漏洞 CVE-2026-86060 串接，組成被命名為 MikroTrick 的攻擊鏈。CVE-2026-86060 是 RouterOS 登入程序中的參數注入（argument injection）缺陷，CISA 早在 2026 年 9 月 11 日就已將其列入 KEV。CERT Polska 指出，結合這兩個漏洞後，攻擊者不需要密碼就能取得暴露在網路上的易受攻擊路由器的完整管理控制權：CVE-2026-67279 讓未驗證的客戶端得以建立工作階段通道，而 CVE-2026-86060 則讓攻擊者能向登入程序提供由攻擊者控制的 policy mask，使系統將該連線誤認為合法的管理者身分。
安全研究公司 Bishop Fox 在獨立分析中證實，他們能在存在漏洞的 RouterOS 7.x 版本上完整重現這套接管流程。研究人員 Emilio Gallegos 解釋，MikroTrick 的本質是結合了位於不同信任邊界的兩個失效點：第一個讓未驗證的連線接觸到 RouterOS 本應只在登入後才開放的功能；第二個則使登入程序把來自該連線的資料當成可信的管理者身分處理。他指出，這暴露出一個常見的設計風險——原本只打算給可信本機呼叫端使用的特權功能，一旦上游元件遺失了身分驗證狀態的追蹤，就會搖身一變成為遠端攻擊面。
影響與限制
對企業與機構而言，這兩起事件傳達出幾個務實訊息。首先，SharePoint 漏洞的定性變化提醒資安團隊，初始公告的嚴重性描述可能低估實際風險，追蹤廠商後續更新與追蹤初始公告同樣重要。其次，MikroTik 設備長期是殭屍網路與跳板攻擊的熱門目標，管理介面暴露於公網的設備風險最高；除了套用修補程式，限制管理介面的來源存取、關閉不必要的對外服務也是必要的防護手段。此外，MikroTrick 展示了漏洞串接的威力——兩個單獨看似中等嚴重度的缺陷，組合後卻能產生完全繞過驗證、接管設備的效果，這也是為何評估風險時不能只盯著單一漏洞的 CVSS 分數。
在修補期限方面，CISA 給予 FCEB 機構至 2026 年 9 月 28 日的時間完成必要修正。雖然此期限名義上僅約束美國聯邦機構，但 KEV 名單向來被全球資安社群視為優先修補的指引，私人企業與其他國家的組織通常也應比照辦理。目前兩起攻擊行動的幕後歸屬、受害規模與入侵後行為仍未公開，相關情資的缺口本身也是風險的一部分——在無法確認是否已遭入侵的情況下，修補與事後鑑識檢查應同步進行。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。