微软已发布紧急安全更新，修复旗下 Office 办公套件中一个已被在野攻击利用的零日漏洞，该漏洞可让攻击者绕过核心安全防护机制。此漏洞编号为CVE-2026-21509，CVSS 评分为 7.8 分，其攻击靶点直指 Office 处理对象链接与嵌入（OLE）控件的核心逻辑。
该漏洞被归类为 **“安全功能绕过” 漏洞 **，这意味着它并非简单导致系统崩溃，而是会悄无声息地打开本应牢牢锁死的安全屏障，具体来说，它能突破 Office 为 **“保护用户免受存在漏洞的 COM/OLE 控件威胁”** 所设置的 OLE 防护措施。
这一漏洞的根源是一个经典的安全缺陷：“在安全决策环节依赖不可信输入”。攻击者向系统注入精心构造的恶意数据，就能诱骗 Microsoft Office 放松安全警戒，使其在本地执行未授权操作。
不过该漏洞的利用存在一个前提条件：它并非那种只需访问恶意网站就会中招的 “路过式攻击”，其用户交互评级为 **“需要用户操作（UI:R）”。要触发漏洞利用，“攻击者必须向用户发送恶意 Office 文件，并诱骗用户打开该文件”**。
这种对社会工程学手段的依赖 —— 钓鱼邮件、虚假下载链接、标注为 “紧急发票” 的附件等，让人为防范成为最后一道安全防线。值得注意的是，通过预览窗格查看文件是安全的，该操作不会触发漏洞攻击。
微软已于2026 年 1 月 26 日发布修复补丁，针对 Microsoft Office 2016 和 Microsoft Office 2019 版本的漏洞问题完成修复。
微软强烈建议用户检查自身 Office 的版本构建号，16.0.10417.20095 及更高版本为安全版本。用户可在任意 Office 应用中，通过点击文件 > 账户 > 关于的路径验证自身版本是否安全。
对于无法立即安装补丁的企业组织，微软提供了一个手动应急禁用方案，管理员可通过修改 Windows 注册表、阻止特定 COM 组件运行的方式，禁用存在漏洞的相关功能。
该临时缓解方案需在 COM 兼容性节点中添加相应注册表项，具体步骤如下：
- 定位至注册表路径：*HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility*
- 新建一个子项，命名为：{EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}
- 在该子项中，新建一个 REG_DWORD 类型的键值，命名为Compatibility Flags，并将其十六进制值设为400。
尽管该临时方案有效，但手动编辑注册表本身存在一定风险，修复漏洞的最优方式仍是安装官方补丁。微软明确表示：“使用 Microsoft Office 2016 和 2019 版本的用户，应尽快安装该更新，以防范此漏洞带来的安全威胁。”
发表评论
您还未登录，请先登录。
登录