文章总结： 微软发布补丁修复Windows与Office中多个正被利用的零日漏洞。其中CVE-2026-21510影响WindowsShell，攻击者可绕过SmartScreen筛查，通过诱导点击恶意链接植入恶意软件；CVE-2026-21513位于MSHTML，可绕过安全机制。专家指出此类一键式攻击极罕见且危险，可能导致勒索软件部署，建议用户尽快更新系统以确保安全。 综合评分： 79 文章分类： 漏洞预警,安全大事件,终端安全

微软修复 Windows 与 Office 零日漏洞，黑客可一键绕过安全机制植入恶意软件

安世加 安世加

安世加

2026年2月12日 19:25 浙江

新闻

News Today

2 月 12 日消息，微软已针对 Windows 和 Office 中的安全漏洞推出修复程序，该公司表示，这些漏洞正被黑客主动利用入侵用户电脑。

据了解，这些漏洞利用属于一键式攻击，意味着黑客只需用户极少操作，就能植入恶意软件或获取受害者电脑的访问权限。其中至少两个漏洞可通过诱使用户在 Windows 电脑上点击恶意链接实现利用，另一个则可在打开恶意 Office 文件时导致系统被入侵。

这些漏洞被称为零日漏洞，因为黑客在微软来得及修复之前就已经在利用它们进行攻击。

微软称，这些漏洞的利用细节已被公开，这可能会加大黑客攻击的风险。微软并未说明这些信息被发布在何处，在漏洞报告中，微软确认谷歌威胁情报团队的安全研究人员参与发现了这些漏洞。

微软表示，其中一个编号为 CVE-2026-21510 的漏洞存在于 Windows shell 中，该组件负责支撑操作系统的用户界面。微软称，此漏洞影响所有受支持的 Windows 版本。当受害者点击电脑上的恶意链接时，该漏洞可让黑客绕过微软的 SmartScreen 功能 —— 该功能通常会对恶意链接和文件进行恶意软件筛查。

安全专家达斯汀 · 蔡尔兹（Dustin Childs）表示，此漏洞可被用于远程在受害者电脑上植入恶意软件。

“这里需要用户交互，用户需要点击一个链接或快捷方式文件，”蔡尔兹在博客中写道，“即便如此，只需一次点击就能实现代码执行的漏洞仍然十分罕见。”

谷歌一位发言人证实，这个 Windows shell 漏洞正被大范围、主动利用，成功的攻击可让恶意软件以高权限静默执行，“极有可能导致后续系统被攻陷、勒索软件部署或信息窃取。”

另一个 Windows 漏洞编号为 CVE-2026-21513，存在于微软自研的浏览器引擎 MSHTML 中。该引擎曾用于早已停用的旧版 IE 浏览器，为保证对旧应用的向后兼容，其仍被保留在新版 Windows 里。

微软表示，该漏洞可让黑客绕过 Windows 安全功能植入恶意软件。

据独立安全记者布莱恩 · 克雷布斯（Brian Krebs）报道，微软还修复了其软件中另外三个正被黑客主动利用的零日漏洞。

本公众号发布的文章均转载自互联网或经作者投稿授权的原创，文末已注明出处，其内容和图片版权归原网站或作者本人所有，并不代表安世加的观点，若有无意侵权或转载不当之处请联系我们处理！

文章转自：IT之家

安世加为出海企业提供SOC 2、ISO27001、PCI DSS、TrustE认证咨询服务（点击图片可详细查看）

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安世加 安世加 安世加《微软修复 Windows 与 Office 零日漏洞，黑客可一键绕过安全机制植入恶意软件》