摘要：美國 CISA 已將 CVE-2026-45659 納入 Known Exploited Vulnerabilities（KEV）Catalog。這代表該漏洞已具備實務攻擊優先處理價值，不應只被視為一般弱點掃描結果。此漏洞影響 Microsoft SharePoint Server，類型屬於不可信資料反序列化，攻擊者在特定條件下可能透過網路執行程式碼。對仍自行維運 SharePoint 的組織而言，建議立即盤點版本、確認對外暴露面，並依照 Microsoft 與 CISA 指引套用修補或緩解措施。
漏洞重點整理
- CVE 編號：CVE-2026-45659
- 影響產品：Microsoft SharePoint Server
- 漏洞類型：Deserialization of Untrusted Data
- CWE：CWE-502
- CISA KEV 加入日期：2026-07-01
- CISA 建議處理期限：2026-07-04
- 勒索軟體活動關聯：官方資料目前標示 Unknown
為什麼這個漏洞值得優先處理？
SharePoint 在企業環境中常被用來放置內部文件、流程資料、專案資訊與權限控管資料。這類系統一旦暴露在網際網路或被攻擊者取得低權限帳號，後續風險往往不只是一台服務被入侵，而是可能延伸到文件外洩、權限提升、橫向移動與內部帳號濫用。
CISA 將漏洞列入 KEV 的意義，是防禦團隊應該把它從「待評估弱點」提升為「已知遭利用風險」。即使目前沒有看到大規模勒索軟體活動關聯，只要環境中存在受影響版本，仍建議用較高優先順序處理。
可能的攻擊情境
根據 CISA 摘要，該漏洞屬於不可信資料反序列化問題，授權攻擊者可能透過網路觸發程式碼執行。實務上要特別注意以下情境：
- SharePoint 管理或使用介面可被外部網路存取。
- 攻擊者已取得低權限帳號、外洩帳密或可用的 VPN / SSO 存取。
- 系統尚未套用 Microsoft 最新安全更新或 mitigation。
- 缺乏針對 SharePoint、IIS、Windows 事件紀錄的集中監控。
修補與緩解建議
- 立即盤點：確認環境中是否仍有自架 SharePoint Server，包含正式、測試、備援與舊系統。
- 套用更新：依照 Microsoft Security Update Guide 套用對應版本的安全更新。
- 降低暴露面：若 SharePoint 不需要對外開放，應限制來源 IP、放到 VPN / Zero Trust 後方，或移除不必要的公開入口。
- 檢查帳號安全：確認近期是否有異常登入、失敗登入爆量、可疑管理者操作或新建高權限帳號。
- 保留紀錄：修補前後保留 IIS log、Windows Event Log、SharePoint ULS log，方便後續鑑識與追蹤。
Blue Team 偵測方向
防禦團隊可以從「身分」、「Web 請求」與「主機行為」三個面向檢查。身分面建議關注異常登入來源、非預期帳號權限變更、短時間大量登入失敗。Web 請求面可檢查 SharePoint 與 IIS log 中不尋常的 POST、錯誤碼爆量、異常 User-Agent 或針對管理端點的掃描。主機面則要留意 SharePoint 服務帳號啟動非預期子程序、寫入可疑檔案、排程工作異動與防毒告警。
本站觀點
對台灣企業來說，SharePoint 類系統常常不是每天被資安團隊盯著看的服務，卻可能承載大量敏感文件與內部流程。這類漏洞的處理重點不是等 PoC 流出才開始緊張，而是先確認自己是否使用、是否暴露、是否已修補。若組織過去曾把 SharePoint 暫時開放給外部協作，也應該把外部暴露面重新掃描一次，避免舊規則、舊站台或測試環境被遺忘。
參考來源
- Microsoft Security Update Guide - CVE-2026-45659
- NVD - CVE-2026-45659
- CISA Known Exploited Vulnerabilities Catalog
本文為 LonelySec 自動化情報流程測試文章：以官方漏洞資料為基礎，整理成繁體中文重點、修補建議與防禦觀點，並保留參考來源供讀者查證。
