🕷️
SetupAI
🖥️較早收集於 7h

Microsoft 六月 Patch Tuesday 修復 206 個漏洞

Microsoft 六月 Patch Tuesday 修復 206 個漏洞
PostLinkedIn
🖥️閱讀原文： Computerworld
#cybersecurity#patch-management#enterprise-itmicrosoft-windows/exchangemicrosoftwindowsexchangebitlocker

💡企業基礎設施的關鍵安全更新；AI 基礎設施管理者必讀。

⚡ 30-Second TL;DR

有什麼變化

包含權限提升與 BitLocker 繞過漏洞的修復程式

為什麼重要

若未修復這些漏洞，企業基礎設施可能面臨權限提升或阻斷服務攻擊的風險。IT 團隊必須優先修復網域控制器與 Hyper-V 主機，以維護系統完整性。

下一步行動

優先立即修復您的網域控制器與 Hyper-V 主機，以緩解「更有可能被利用」的漏洞風險。

誰應關注：Enterprise & Security Teams

關鍵要點

  • •包含權限提升與 BitLocker 繞過漏洞的修復程式
  • •建議立即部署針對 Exchange Server 的整合性安全更新
  • •特定伺服器配置下出現 BitLocker 恢復提示的已知問題

🧠 深度解析

Web-grounded analysis with 15 cited sources.

🔑 增強重點摘要

  • •2026年6月的Patch Tuesday修復了206個漏洞，創下Microsoft每月更新週期的紀錄，其中包含六個零日漏洞，包括一個針對Exchange Server (CVE-2026-42897) 已被積極利用的漏洞，以及三個已公開披露但尚未被積極利用的漏洞 (CVE-2026-45586、CVE-2026-49160、CVE-2026-50507)。
  • •本次更新解決了Microsoft Office、Outlook和Word中的多個關鍵遠端程式碼執行 (RCE) 漏洞，其中預覽窗格被確認為攻擊向量，凸顯了看似無害的文件互動所帶來的風險。
  • •漏洞數量的顯著增加，特別是針對Chromium/Edge的漏洞，部分歸因於安全研究人員和Microsoft工程師在漏洞發現中越來越多地使用AI工具。
  • •在Patch Tuesday發布後不久，一位安全研究人員公開披露了一個新的BitLocker繞過漏洞（稱為「GreatXML」），這與已修補的CVE-2026-50507不同，突顯了Windows端點保護面臨的持續挑戰以及漏洞利用開發的快速步伐。

🛠️ 技術深入

  • CVE-2026-45586 (Windows Collaborative Translation Framework 權限提升漏洞): 影響Windows核心元件CTFMON，是一個透過連結追蹤缺陷 (CWE-59) 實現的權限提升 (EoP) 漏洞。低權限的本地攻擊者無需使用者互動即可獲得SYSTEM權限。
  • CVE-2026-49160 (HTTP.sys 阻斷服務漏洞): 影響HTTP/2和HTTP/3，是HPACK壓縮演算法中的「壓縮炸彈」漏洞，可能導致資源過度消耗。Microsoft透過新增MaxHeadersCount登錄設定來限制HTTP/2和HTTP/3請求中的標頭數量以進行緩解。
  • CVE-2026-50507 (Windows BitLocker 安全功能繞過漏洞): 需要對系統進行物理存取，才能繞過BitLocker裝置加密功能並存取加密資料。
  • CVE-2026-42897 (Microsoft Exchange Server 欺騙漏洞): 一個已被積極利用的高嚴重性欺騙漏洞，允許沒有權限的遠端攻擊者透過發送特製電子郵件，在針對Outlook Web Access使用者的跨站腳本 (XSS) 攻擊中執行任意JavaScript程式碼。
  • Microsoft Office、Outlook和Word中的RCE漏洞 (例如CVE-2026-45456、CVE-2026-45458、CVE-2026-47635): 這些是透過類型混淆、釋放後使用 (use-after-free) 和堆疊型緩衝區溢位缺陷實現的關鍵RCE漏洞，預覽窗格被確認為攻擊向量。
  • BitLocker已知問題 (PCR7): 在作業系統磁碟機上啟用BitLocker、將群組原則「為原生UEFI韌體配置設定TPM平台驗證設定檔」設定為包含PCR7，且系統資訊報告安全啟動狀態PCR7綁定為「不可能」的裝置，在安裝此更新後首次重新啟動時可能會提示恢復金鑰。
  • GreatXML BitLocker繞過漏洞 (新披露): 涉及將特定XML檔案 (unattend.xml、Recovery/WindowsRE/ReAgent.xml) 複製到恢復分區的根目錄，然後重新啟動到Windows恢復環境 (WinRE)。此漏洞與Windows Defender離線掃描功能有關。

🔮 前景展望AI analysis grounded in cited sources

未來Patch Tuesday更新的漏洞數量將持續增加。
AI工具在漏洞發現中的應用日益普及，導致更多漏洞被識別，預計將使每月修補的漏洞數量成為新常態。
針對物理存取和端點保護的攻擊將更為複雜和頻繁。
BitLocker繞過漏洞的持續出現和新公開的利用方式（如GreatXML），表明攻擊者正積極尋找繞過物理安全措施的方法。
組織將面臨更嚴峻的即時修補壓力，尤其針對已公開披露或被積極利用的零日漏洞。
許多漏洞在修補發布前已被公開披露，甚至被利用，這縮短了IT團隊的反應時間，並增加了「Exploit Wednesday」的風險。

⏳ 時間線

2001-09
Nimda蠕蟲爆發，凸顯對更有效安全補丁分發系統的需求。
2002
比爾·蓋茲發布「可信賴運算」備忘錄，強調安全性。
2003-10
Microsoft正式推出「Patch Tuesday」，將安全更新發布標準化為每月第二個星期二。
2017-05
WannaCry勒索軟體爆發期間，Microsoft為已停止支援的Windows XP、Windows 8和Windows Server 2003發布了例外補丁。
2023-11
Microsoft紀念Patch Tuesday推出20週年，並宣布「安全未來倡議」。
2026-06
Microsoft發布2026年6月Patch Tuesday更新，修復206個漏洞，包括多個零日漏洞。
🖥️閱讀原文： Computerworld
📰

AI 週報

閱讀本週精選 AI 大事摘要 →

👉相關動態

同主題

探索 #cybersecurity

同產品

更多關於 microsoft-windows/exchange

同來源

最新來自 Computerworld

Slopsquatting：由 AI 驅動的新型軟體供應鏈威脅

Slopsquatting：由 AI 驅動的新型軟體供應鏈威脅

VentureBeat•Jul 11

AI 策展新聞聚合。所有內容版權歸原始發布者所有。
原始來源： Computerworld ↗