CVE-2026-65660 SharePoint RCE 在野利用

资讯专家

概要
Microsoft SharePoint 漏洞 CVE-2026-65660 已被发现在野利用。该漏洞已由微软在 2026 年 8 月 Patch Tuesday 更新中修复，CISA 已将其加入 KEV 目录，联邦机构修补截止日期为 2026 年 9 月 28 日。

漏洞情况
CVE-2026-65660 是远程代码执行漏洞。微软公告将其描述为代码注入问题：已认证且拥有低权限的攻击者，无需用户交互即可在受影响服务器上执行任意代码。微软将 CVE-2026-65660 视为已认证漏洞，需要低权限但无需用户交互。该漏洞本身是类型检查绕过，可使已认证攻击者获得代码执行；要达到未认证 RCE，需要与另一个认证绕过弱点链式利用。Viettel Security 指出，微软最初将其归类为中危欺骗问题，后修订为高危远程代码执行漏洞。

在野利用
截至 2026 年 9 月 25 日，微软表示已有可靠证据观察到针对该漏洞的利用攻击。CISA 于 9 月 25 日将 CVE-2026-65660 加入 KEV 目录，要求联邦机构在 9 月 28 日前完成修补。预警平台 Previdian（原 KEVIntel）报告称，9 月 24 日观察到利用尝试，9 月 25 日观察到尝试创建 webshell 后门。目前尚不清楚攻击者身份。攻击似乎在 Viettel Security 披露技术细节后不久开始；Previdian 指出，其观察到的在野利用似乎基于 Viettel 分享的技术信息。

处置建议
使用 SharePoint 的组织应确认已应用微软 2026 年 8 月补丁，并优先排查可疑 webshell、异常服务器端代码执行以及低权限账户异常行为。CISA KEV 目录当前包含 16 个 SharePoint 漏洞，其中 8 个为今年发现并修补。