這一次微軟的 Patch Tuesday 更新規模空前，總共修補了 622 個 CVE 漏洞，數量是先前紀錄的三倍之多。對於維運工程師或資安新手來說，面對如此龐大的更新清單，最容易犯的錯誤就是「依照嚴重性分數（CVSS Score）由高到低來排序」決定修補順序。
然而，這次的更新案例正好證明了：漏洞的「實際被利用狀態」比「理論分數」重要得多。
優先處理的兩大零日漏洞
在這次的更新中，有兩個零日漏洞（Zero-Day，指漏洞被發現且被利用，但廠商尚未發布補丁的狀態）已經在野外被攻擊者使用，必須優先處理。
第一個是 CVE-2026-56164，發生在 SharePoint Server（微軟的企業文件協作平台）。這個漏洞允許未經身分驗證的攻擊者透過網路直接提升權限。這意味著攻擊者不需要帳號密碼，也不需要使用者點擊任何連結，就能在遠端奪取伺服器權限。特別危險的是，SharePoint Server 2016 和 2019 正好在本次更新日到達支援終止期限（End of Support），且沒有付費延展支援計畫。如果你還在運行舊版 SharePoint，請立即更新，或至少開啟 AMSI（反惡意軟體掃描介面）的 Full Mode 來降低風險。
第二個是 CVE-2026-56155，發生在 AD FS（Active Directory Federation Services，負責企業單一登入認證的服務）。雖然這個漏洞被標記為「本地權限提升」（Local Privilege Escalation），看起來不像遠端攻擊那麼危險，但 AD FS 是整個企業認證體系的信任核心，負責簽發登入權杖（Tokens）。一旦攻擊者在 AD FS 伺服器上取得高權限，就等同於拿到了開啟公司所有大門的萬能鑰匙。
警惕漏洞鏈的風險
除了零日漏洞，還有一件值得關注的事：CVE-2026-55040。這是一個針對 SharePoint 的 JWT（JSON Web Token，一種用於傳遞身分資訊的標準格式）認證繞過漏洞。
這個漏洞本身的分數在不同機構眼中差異極大（從 5.3 到 9.1 不等），但其真正的威脅在於它可以被「串聯」。攻擊者可以先利用這個繞過漏洞進入系統，再搭配另一個尚未修補的遠端程式碼執行（RCE）漏洞，最終達成完全控制伺服器的目的。微軟計畫在八月才修補 RCE 部分，因此七月的這次更新是為了「切斷這個攻擊鏈」，讓後續的 RCE 無法被觸發。
Kerberos RC4 強制停用：可能導致系統崩潰的更新
除了安全性漏洞，這次更新還包含一個會影響系統可用性的重大變更：微軟正式完成了 Kerberos RC4 加密演算法的硬化（Hardening）。
RC4 是一種過時且不安全的加密方式。微軟在這次更新中移除了允許回滾到 RC4 的開關。如果你的環境中仍有舊的服務帳號（Service Account）或老舊客戶端強制要求使用 RC4 票據，更新後這些帳號將無法通過認證，直接導致服務中斷。
建議的處理流程是：先檢查 RC4 稽核事件紀錄，找出哪些帳號還在用 RC4，接著輪換（Rotate）這些帳號的密碼以強制產生更安全的 AES 金鑰，最後才安裝更新。
給工程師的實務建議
面對 AI 驅動的漏洞發現速度，漏洞數量將會持續增加。微軟提到他們使用 MDASH（多模型代理掃描系統）來自動化發現漏洞，這意味著漏洞發現速度變快，但攻擊者利用 Patch Diff（比對更新前後的程式碼差異）來反推漏洞並製作攻擊工具的速度也同步加快。
因此，請放棄「等一週看看有沒有崩潰再更新」或「只修補 Critical 分數」的舊思維。建議採取以下優先級：
第一優先：標記為「已被利用」（Exploited）的漏洞，參考 KEV（已知被利用漏洞清單）或微軟的標記。 第二優先：位於認證核心（如 AD FS、Identity 基礎設施）的權限提升漏洞。 第三優先：高分數的 RCE 漏洞。 最後：需要實體接觸設備才能觸發的漏洞（如 BitLocker 繞過）。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。