文章总结： 文档分析了CVE-2026-21509MicrosoftOfficeRCE漏洞，影响Office2016/2019及LTSC/365等版本。攻击者通过特制文档绕过OLE防护，诱使用户打开即可触发攻击，已有在野利用记录。建议立即安装官方安全更新或升级至指定版本，并提供了EXP获取链接以供测试。 综合评分： 65 文章分类： 漏洞分析,漏洞预警,漏洞POC,办公安全

叮～你有新的速递！CVE-2026-21509 RCE漏洞（速查）

冯宝宝 冯宝宝

哪都通安全

2026年2月6日 11:02 北京

0x01 前言

Microsoft Office是微软开发的‌经典办公软件套装‌，核心组件包括Word、Excel、PowerPoint、OneNote和Outlook，广泛应用于文档处理、数据分析、演示文稿制作和日常办公。支持多平台Windows/macOS/iOS/Android，提供超过100种语言版本，拥有庞大的用户基础。攻击者可利用此漏洞构造特制文档，以绕过Microsoft Office中用于防御不安全OLE对象的防护机制。攻击实施需诱使用户打开恶意Office文件，未经身份验证的攻击者可利用此漏洞发起攻击，该漏洞已被发现在野利用

0x02 影响平台

Microsoft Office 2016Microsoft Office 2019Microsoft Office LTSC 2021Microsoft Office LTSC 2024Microsoft 365 Apps for Enterprise

0x03 漏洞利用

页面是这个酱紫

打开 Word 文件后显示的确认对话框，点击“打开”即可触发漏洞利用

EXP获取地址如下：

https://github.com/Ashwesker/Ashwesker-CVE-2026-21509

0x04 修复方案

官方已发布安全补丁，建议联系厂商打补丁或升级版本。1. 立即安装官方安全更新：Microsoft已于2026年1月26日发布针对Office 2016和2019的安全更新。所有受影响版本的用户应立即通过Windows Update或Microsoft Update Catalog安装相应的安全补丁。2. 版本升级：Office 2016用户应升级至版本16.0.5539.1001或更高版本Office 2019用户应升级至版本16.0.10417.20095或更高版本Microsoft 365 Apps、Office LTSC 2021及2024用户应确保应用最新的Click to Run更新(详见https://aka.ms/OfficeSecurityReleases)3. Office 2021及更高版本的自动保护：运行Office 2021及更高版本的客户将通过服务端更改自动获得保护，但需要重启Office应用程序以使保护生效。

往期推荐

▶【漏洞系列】叮~你有新的速递！某软RCE漏洞（附EXP）

▶【漏洞系列】叮～你有新的速递！某友-OA信息泄露登录后台（附EXP）

▶【漏洞系列】叮～你有新的速递！CVE-2024-25735 漏洞（附EXP）

▶【漏洞系列】叮～你有新的速递！CVE-2024-21887 RCE漏洞（附EXP）

▶【漏洞系列】叮～你有新的速递！CVE-2023-33246 RCE漏洞（附EXP）

▶【漏洞系列】叮～你有新的速递！CNVD-2023-08743漏洞（附PoC）

▶【漏洞系列】叮～你有新的速递！CVE-2023-29922漏洞（附脚本）

▶【漏洞系列】叮～你有新的速递！CVE-2023-22480漏洞（附EXP）

▶【漏洞系列】叮～你有新的速递！CVE-2023-25135漏洞（附EXP）

▶【漏洞系列】叮~你有新的速递！CVE-2023-27524漏洞利用Tools

▶【漏洞系列】叮～你有新的速递！Citrix CVE-2023-3519 RCE漏洞（附PoC）

▶【免杀系列】New免杀工具NPS更新5.21（附下载）

▶【免杀系列】TQL！最新Bypass360核晶与Defender免杀（附下载）

▶【免杀系列】Bypass | mimikatz的N种利用Tools包含一些免杀方法（附下载）

▶【免杀系列】New一款红队免杀生成Tools（附下载）

▶【移动安全】踩坑 | Fiddler雷电模拟器4.0无法抓包（超详细）

▶【移动安全】牛掰！Xposed检测绕过总结

觉得内容不错，就点下“赞”和“在看” 如侵权请私聊公众号删文

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：哪都通安全 冯宝宝 冯宝宝《叮～你有新的速递！CVE-2026-21509 RCE漏洞（速查）》