文章总结： 研究人员公开了SharePoint远程代码执行漏洞CVE-2026-33112的PoC，该漏洞CVSS评分8.8，影响本地部署版本。攻击者仅需站点成员账户即可利用XSD架构导入绕过此前补丁实现远程代码执行。微软已在5月补丁中修复，建议立即应用更新并阻止服务器向不受信任主机发起出站连接。 综合评分： 89 文章分类： 漏洞分析,威胁情报,安全工具,解决方案

SharePoint 远程代码执行漏洞 CVE-2026-33112：技术细节及概念验证（PoC）已公开

sec随谈 sec随谈

sec随谈

2026年7月8日 09:33 北京

在小说阅读器读本章

去阅读

摘要

研究人员已公开发布了一个 SharePoint 远程代码执行漏洞的完整技术细节及概念验证（PoC）代码。该漏洞编号为 CVE-2026-33112（CVSS 评分 8.8），可让低权限用户在服务器上执行代码。微软已在 5 月的”周二补丁日”（Patch Tuesday）发布中修复了该漏洞。

为何重要

SharePoint 处于众多企业内部网络的核心位置，因此，服务器端漏洞一旦被利用，将直接暴露文档、凭据以及内部应用系统。这个 SharePoint 远程代码执行漏洞的利用门槛很低——攻击者只需拥有一个站点成员（site member）账户即可，无需管理员权限。这种低门槛使其对已经获得初始立足点的攻击者极具利用价值：钓鱼攻击或一个被盗的密码，就足以提供这样一个起始账户。从这一步开始，一次请求即可转向对服务器的完全控制。

攻击原理

该漏洞绕过了此前一个漏洞 CVE-2025-53770 的补丁修复。根据 Viettel Cyber Security 的分析，研究人员利用了 XSD 架构导入（schema imports）机制。XmlValidator 只会检查内联（inline）的架构字符串，但从未检查从外部网络位置拉取的架构内容。

因此，攻击者可以在自己的服务器上托管一个恶意架构文件。这个外部架构会绕过验证器，将一个本应被禁止的类型”偷渡”过去。随后，PerformancePoint 网络服务会对该恶意负载进行反序列化操作，进而触发代码执行。整个攻击链最终触及了一个微软此前试图锁定的不安全控件——简而言之，补丁关闭了一扇门，但另一扇门却依然敞开着。该分析报告的功劳归于向微软报告此问题的研究人员 khoadha。

受影响版本

该漏洞影响 2026 年 5 月安全更新之前的本地部署（on-premises）版本 SharePoint Server。微软的安全公告中列出了具体受支持的版本及补丁级别。SharePoint Online 由微软负责托管管理，因此云端租户无需采取任何操作。

修复与缓解措施

请立即应用 2026 年 5 月的更新补丁。具体的版本编号信息，请参阅微软发布的官方 CVE-2026-33112 安全公告。由于公开的 PoC 代码已经存在，打补丁的优先级应高于常规的变更窗口安排。管理员还应阻止服务器向不受信任的主机发起出站连接，这一措施可以有效阻断该 SharePoint 远程代码执行漏洞所依赖的外部架构获取过程。截至目前，尚未证实存在任何野外主动利用行为。

参考链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33112

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《SharePoint 远程代码执行漏洞 CVE-2026-33112：技术细节及概念验证（PoC）已公开》