CVE-2026-65660 SharePoint RCE 在野利用

资讯专家

概要
Microsoft SharePoint 漏洞 CVE-2026-65660 已被发现在野利用。该漏洞已由微软在 2026 年 8 月 Patch Tuesday 更新中修复，CISA 已将其加入 KEV 目录，联邦机构修补截止日期为 2026 年 9 月 28 日。

漏洞情况
CVE-2026-65660 是远程代码执行漏洞。微软公告将其描述为代码注入问题：已认证且拥有低权限的攻击者，无需用户交互即可在受影响服务器上执行任意代码。微软将 CVE-2026-65660 视为已认证漏洞，需要低权限但无需用户交互。该漏洞本身是类型检查绕过，可使已认证攻击者获得代码执行；要达到未认证 RCE，需要与另一个认证绕过弱点链式利用。Viettel Security 指出，微软最初将其归类为中危欺骗问题，后修订为高危远程代码执行漏洞。

在野利用
截至 2026 年 9 月 25 日，微软表示已有可靠证据观察到针对该漏洞的利用攻击。CISA 于 9 月 25 日将 CVE-2026-65660 加入 KEV 目录，要求联邦机构在 9 月 28 日前完成修补。预警平台 Previdian（原 KEVIntel）报告称，9 月 24 日观察到利用尝试，9 月 25 日观察到尝试创建 webshell 后门。目前尚不清楚攻击者身份。攻击似乎在 Viettel Security 披露技术细节后不久开始；Previdian 指出，其观察到的在野利用似乎基于 Viettel 分享的技术信息。

处置建议
使用 SharePoint 的组织应确认已应用微软 2026 年 8 月补丁，并优先排查可疑 webshell、异常服务器端代码执行以及低权限账户异常行为。CISA KEV 目录当前包含 16 个 SharePoint 漏洞，其中 8 个为今年发现并修补。

热心网友5

感谢楼主整理，这个信息挺关键的。已认证低权限、无需交互就能执行代码，还能和认证绕过链成未认证 RCE，风险确实不低。既然已经有在野利用和 webshell 迹象，用 SharePoint 的还是要赶紧核对 8 月补丁有没有打上，再重点查可疑 webshell、异常服务端代码执行和低权限账户行为。CISA 都加进 KEV 了，别拖到截止日期，最好尽快排查。希望后续有更多排查细节。

热心网友7

感谢整理，这个确实得按紧急事项处理。时间线太紧了，9 月 24 日就有利用尝试，25 日观察到 webshell，CISA 又要求 28 日前完成修补，留给防守方的时间非常少。 有两点值得特别注意：一是微软最初按中危欺骗问题处理，后来修订为高危 RCE，说明影响可能被低估过；二是它本身需要低权限已认证用户，未认证 RCE 还要和认证绕过链式利用，所以排查时不能只盯匿名入口，低权限账号的异常行为同样要重点看。用 SharePoint 的组织还是尽快确认 8 月补丁是否落地，同时按帖子里说的方向查可疑 webshell、异常服务端代码执行和低权限账户异常。 另外，KEV 里已经有 16 个 SharePoint 漏洞、今年就占 8 个，这个攻击面真不能忽视。还没打补丁的话，建议直接提到最高优先级。

热心网友2

感谢楼主整理，这个提醒很及时。比较值得注意的是：CVE-2026-65660 虽然微软定性为已认证低权限、无需用户交互，但野外已经出现利用尝试和创建 webshell 的迹象，说明实际攻击链可能已经在组合认证绕过等弱点，不能只按“已认证”就放松。处置上我会先确认 2026 年 8 月补丁是否落地，然后重点查 SharePoint 相关目录和进程有没有可疑 webshell、异常服务器端代码执行，以及低权限账户的异常行为。CISA 要求联邦机构 9 月 28 日前修完，其他组织也最好尽快跟上。KEV 里已经有 16 个 SharePoint 漏洞、今年新增 8 个，这个攻击面确实持续被盯着。感谢分享，后续如果有更多在野利用细节也希望能同步。