事件概述
CVE-2026-65660 是微软本地部署版 SharePoint Server 的一处远程代码执行漏洞，影响 SharePoint Server 2016、2019 与 Subscription Edition。该漏洞最初被微软归类为“欺骗”，CVSS 仅 6.5；后续复评确认其可达任意代码执行，评分上调至 8.8。2026 年 9 月 25 日，微软向客户通报已掌握在野利用证据，CISA 同日将其列入已知被利用漏洞（KEV）目录，并规定联邦文职机构须在 9 月 28 日前完成修补或缓解。
技术细节
漏洞根因在于服务端对用户可控输入的处理不当，形成代码注入路径。攻击者需先持有 SharePoint 站点上的有效账号，且只需低权限（如普通站点成员），无需管理员身份；随后通过网络向服务器发起构造请求，即可在服务端上下文中执行任意代码，且不依赖受害者点击等交互动作。
国内安全厂商已复现该漏洞并发布风险通告，公开信息与微软公告口径一致：无需提升到站点集管理员即可触发，属于典型的“低权限换高权限”路径。复现成功意味着攻击门槛进一步降低，从披露走向武器化的时间窗口被压缩。
需要区分的是，本次事件与 SharePoint 此前曝出的其他反序列化、视图状态类漏洞不同：65660 的入口在服务端请求处理链路，属于代码注入语义，因而常见的内容过滤与前端防护难以覆盖。
影响评估
SharePoint 通常承载企业内网文档、流程与协作数据，且大量实例直接暴露在互联网上供远程办公使用。一旦被利用，攻击者可读取其权限范围内的全部文档，并可借助服务器进程身份继续横向移动；配合 IIS 机器密钥或服务账号凭据的窃取，攻击者还能实现长期驻留。
与需要管理员会话的漏洞相比，认证后低权限利用意味着“有账号即可打”，在员工账号被撞库或钓鱼获取的常态下，实际风险显著高于评分本身。微软已确认在野利用但未披露攻击者身份与受害范围，说明攻击仍处于早期且可能正在扩散。
修复建议
- 安装微软对应版本的累积安全更新，优先覆盖 2016、2019 与 Subscription Edition 的全部服务器角色（含应用服务器与搜索节点）。
- 无法立即升级的，先收敛暴露面：将 SharePoint 管理端口与站点置于内网或 VPN 之后，限制公网直连。
- 收紧站点权限，清理不受控的外部共享与匿名访问，降低低权限账号基数。
- 审计 IIS 日志与 ULS 日志，重点关注 w3wp.exe 的异常子进程、异常文件写入与来自单账号的高频 POST 请求。
- 检查 SharePoint 服务器场账户、服务账号与证书是否可能已被读取，必要时轮换。
- 本地部署环境风险最高，Microsoft 365 版 SharePoint Online 由厂商侧维护，不在本次处置范围内。