CISA 将微软 SharePoint Server 和 Office Excel 漏洞列入已知被利用漏洞目录 ...

admin 2026-4-17 06:08 6人围观资讯

美国网络安全和基础设施安全局（CISA）还将苹果、Laravel Livewire和Craft CMS的漏洞列入了其已知被利用漏洞（KEV）目录。以下是新列入该目录的漏洞：CVE-2009-0238：微软Office远程代码执行漏洞CVE-2026-32201：微 ...

美国网络安全和基础设施安全局（CISA）还将苹果、Laravel Livewire和Craft CMS的漏洞列入了其已知被利用漏洞（KEV）目录。

以下是新列入该目录的漏洞：

CVE-2009-0238：微软Office远程代码执行漏洞

CVE-2026-32201：微软SharePoint Server输入验证不当漏洞

第一个被列入的漏洞，编号为CVE-2009-0238（CVSS评分为9.3），影响多个版本的微软Excel及相关查看器。当用户打开一个特制的Excel文件，导致应用程序访问内存中的无效对象时，就会触发该漏洞。这会导致内存损坏，使远程攻击者能够以用户权限在受影响的系统上执行任意代码。该漏洞在2009年2月曾在野外被积极利用，特别是被Trojan.Mdropper.AC恶意软件利用，在当时是一个重大的现实威胁。

第二个被列入目录的漏洞，编号为CVE-2026-32201，是一个关键的SharePoint零日漏洞，据微软报告，该漏洞已在野外攻击中被利用。CVE-2026-32201（CVSS评分为6.5）是微软SharePoint Server中的一个欺骗漏洞，可能与跨站脚本攻击（XSS）相关。虽然细节有限，但它可能允许攻击者查看或修改公开信息。微软尚未透露该漏洞被利用的广泛程度，但鉴于其潜在影响，各机构，尤其是那些拥有面向互联网的SharePoint服务器的机构，应优先测试并尽快应用补丁。

公告中写道：“微软Office SharePoint中的输入验证不当，允许未经授权的攻击者通过网络进行欺骗攻击”。“成功利用该漏洞的攻击者可以查看一些敏感信息（机密性），修改公开信息（完整性），但无法限制对资源的访问（可用性）。已检测到利用行为”。

根据《约束性操作指令（BOD）22-01：降低已知被利用漏洞的重大风险》，美国联邦民事行政部门（FCEB）机构必须在截止日期前解决已识别的漏洞，以保护其网络免受利用该目录中漏洞的攻击。专家还建议私营企业查看该目录，并解决其基础设施中的相关漏洞。

CISA命令联邦机构在2026年4月28日前修复这些漏洞。