近期美國網路安全與基礎設施安全局 CISA 將一個針對 Microsoft SharePoint Server 的嚴重漏洞 CVE-2026-58644 列入已知被利用漏洞目錄 KEV。這意味著該漏洞不僅在理論上可行，且在現實世界中已被駭客實際利用。對於維護企業內部伺服器的工程師來說，這是一個必須立即處理的高風險威脅。
理解核心威脅：什麼是反序列化漏洞
這次漏洞的核心在於反序列化之不可信數據處理。在程式開發中，序列化是指將記憶體中的物件轉換成可儲存或傳輸的格式（如 JSON 或 XML），而反序列化則是將這些格式還原回物件。
當系統在反序列化過程中沒有對輸入數據進行嚴格驗證，攻擊者就可以構造特殊的惡意數據包。當伺服器嘗試將這些數據還原成物件時，會意外地執行攻擊者內嵌在其中的指令。在 CVE-2026-58644 的案例中，這種缺陷導致了遠端程式碼執行 RCE，也就是攻擊者可以在不需要物理接觸伺服器的情況下，直接在目標伺服器上執行任意指令。
攻擊路徑與影響範圍
根據微軟的分析，這是一個低複雜度的攻擊。攻擊者只要擁有網站擁有者 Site Owner 等級的權限，就能透過網路注入惡意代碼。由於攻擊不需要對系統有深厚的先驗知識，且攻擊載荷的成功率極高，因此被評定為 CVSS 9.8 的極高風險等級。
受影響的版本涵蓋了大多數企業仍在使用的地端部署版本，包括 SharePoint Server Subscription Edition 以及 2019 和 2016 版本。值得注意的是，這類漏洞往往會被用作進入企業內網的跳板，駭客在取得 RCE 權限後，會進一步嘗試竊取 IIS 機器金鑰 Machine Keys，藉此在系統中建立持久化權限，甚至部署後續的惡意軟體。
工程實務上的防禦建議
面對此類漏洞，單純安裝補丁雖然是首要任務，但從系統工程的角度來看，應採取深度防禦策略。
首先是立即更新。請確保安裝 2026 年 7 月 14 日 Patch Tuesday 發布的最新安全更新，並驗證安裝是否成功。
其次是強化偵測能力。建議啟用 AMSI 即反惡意軟體掃描介面。AMSI 是 Windows 提供的一種通用介面，允許安全產品在記憶體中掃描動態執行的腳本（如 PowerShell），能有效攔截反序列化攻擊後嘗試執行的惡意指令。
再次是清理與輪替。如果懷疑系統已被入侵，在更換 IIS 機器金鑰之前，必須先掃描並清除系統中的入侵痕跡。如果直接更換金鑰而未清除後門，駭客可能已經掌握了新的金鑰生成邏輯或擁有其他權限。
最後是縮小攻擊面。除非絕對必要，否則不要將 SharePoint Server 直接暴露在公網上。應限制對中央管理介面 Central Administration 的外部訪問，並嚴格管控伺服器與資料庫之間的通訊埠，遵循最小權限原則。
總結
CVE-2026-58644 再次提醒我們，處理外部輸入數據的驗證是安全開發的底線。對於維運工程師而言，面對地端伺服器，不能僅依賴單一的防火牆，而應結合補丁管理、記憶體層級的監控以及嚴格的網路分段，才能在面對零日漏洞時將損害降至最低。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。