最近美國網路安全與基礎設施安全局 CISA 將一個針對 Microsoft SharePoint Server 的高風險漏洞 CVE-2026-45659 列入了已知被利用漏洞清單 KEV。這意味著該漏洞不再僅僅是理論上的風險，而是已經在現實世界中被駭客實際利用。對於維護企業內部伺服器的工程師來說，這是一個重要的警訊。
理解反序列化漏洞的本質
這次漏洞的核心在於不安全的反序列化 Deserialization of Untrusted Data。簡單來說，序列化是指將記憶體中的物件轉換成可以儲存或傳輸的格式（如 JSON 或二進位流），而反序列化則是將這些格式還原回物件的過程。
當程式在反序列化過程中沒有對輸入數據進行嚴格驗證，駭客就可以構造一個特製的惡意數據流。當伺服器嘗試將其還原成物件時，會意外地觸發惡意代碼的執行。這種漏洞極其危險，因為它直接導致了遠端代碼執行 RCE，讓攻擊者能直接在伺服器上執行任意指令。
CVE-2026-45659 的風險特徵
這個漏洞的 CVSS 評分高達 8.8 分。最令人擔心的實務影響在於權限要求極低。通常我們認為 RCE 需要管理員權限才能觸發，但此漏洞僅需要攻擊者擁有 SharePoint 的 Site Member 網站成員權限即可。
這意味著任何能登入系統的普通內部員工，或是透過其他方式盜取了低權限帳號的攻擊者，都能利用這個漏洞在伺服器上執行指令，進而接管整個伺服器。受影響的版本包括 SharePoint Server 訂閱版、2019 版以及 2016 企業版。
從攻擊鏈看複雜的威脅環境
除了單一漏洞，微軟在調查中揭露了一個更深層的威脅脈絡。在一次勒索軟體調查中，發現同一網路環境內竟然有兩個互不相關的攻擊組織同時在運作。
其中一個名為 Storm-2603 的組織，擅長利用 SharePoint 等地端伺服器的已知漏洞來部署 Warlock 勒索軟體。他們的攻擊路徑通常包含以下幾個步驟：
首先是尋找入口。他們可能利用如 CVE-2025-11371 等漏洞進行本地檔案包含 LFI，試圖讀取 web.config 等敏感設定檔來獲取系統資訊。
接著是建立持久化存取。他們會使用 Cloudflare Tunneling 或 Zoho Assist 等合法工具建立遠端通道，讓自己的惡意流量看起來像正常的管理行為，避開防火牆偵測。
最後是權限提升與隱匿。他們會創建新的網域管理員帳號，甚至利用有漏洞的驅動程式 NSecKrnl.sys 來直接干擾端點防護軟體 EDR，讓自己的操作在安全監控中消失。
工程實務的啟發
對於維護系統的工程師而言，這次事件提供了三個關鍵教訓。
第一，補丁管理不能僅看權限等級。很多團隊會優先修復需要管理員權限的漏洞，但 CVE-2026-45659 證明了低權限帳號也能造成毀滅性打擊。只要漏洞被列入 CISA KEV 清單，就代表已有現成工具可用，必須立即更新。
第二，警惕合法工具的異常使用。駭客現在傾向於使用 SSH、VS Code Remote 或雲端隧道等開發者常用工具來維持後門。如果發現伺服器出現不尋常的外部連接，即使該工具本身是合法的，也應視為潛在威脅。
第三，單一信號不足以判斷全貌。如微軟所言，一個看似單純的勒索軟體事件，背後可能隱藏著多個攻擊組織在同一環境內博弈或共生。安全監控不能只盯著單一警報，而應分析整個攻擊鏈的橫向移動行為。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。