SharePoint与MikroTik曝高危RCE，黑客已在疯狂利用！

原创

Kit Chung
Kit Chung

安全圈动向

2026年10月1日 10:16
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

大家好，如果你手里还维护着微软 SharePoint 服务器或者 MikroTik 路由器，那我建议你查查系统日志。

美国CISA（网络安全和基础设施安全局）把两个高危漏洞紧急加入了 KEV（已知被利用漏洞）清单。这可不是什么常规的漏洞通报，因为它们已经在野外被黑客疯狂利用了。

今天我就来跟大家好好盘一盘，这两个被黑客盯上的“香饽饽”到底是怎么回事，尤其是 MikroTik 那个堪称教科书级别的漏洞利用链，技术手法相当硬核，非常值得我们搞安全的研究一下。

微软也看走眼？SharePoint 惊现高危 RCE

先来说说第一个主角：Microsoft Office SharePoint 代码注入漏洞（CVE-2026-65660，CVSS评分：8.8）。

这个漏洞其实有点戏剧性。一开始，微软官方发公告的时候，只是把它定性为一个普通的“欺骗（Spoofing）”漏洞。大家都知道，欺骗漏洞的优先级通常没那么高。但没过多久，微软就惨遭打脸，紧急更新了公告：这玩意儿其实能导致远程代码执行（RCE）！

技术痛点解析：

只要攻击者拥有了一定的授权身份，就可以利用这个代码注入漏洞，直接在网络上执行恶意代码。微软方面确认，截至 2026 年 9 月 25 日，他们已经掌握了确凿的证据，表明黑客正在利用这个漏洞发起攻击。

目前微软对攻击者的身份、攻击规模以及后渗透阶段的操作都三缄其口。但对于咱们防守方来说，看到“SharePoint”加上“RCE”和“在野利用”这几个词，就应该拉响最高级别的警报了。

真正的硬核秀：揭秘 MikroTrick 无密码接管利用链

相比于 SharePoint 那个“大力出奇迹”的注入，第二个漏洞的利用手法显然更具艺术感。

波兰 CERT 和安全机构 Bishop Fox 披露了一个针对 MikroTik RouterOS 的漏洞利用链，代号 MikroTrick。黑客通过这个利用链，完全不需要密码，就能在公网上直接拿到易受攻击路由器的最高管理权限。

这个神仙操作是怎么实现的呢？其实是把两个本来看起来不致命的漏洞给“串”了起来：

• CVE-2026-67279（CVSS评分：6.9）：

行为工作流强制执行不当漏洞。
* CVE-2026-86060：

RouterOS 登录过程中的参数注入漏洞。

核心技术拆解：信任边界的全面崩塌

Bishop Fox 的安全研究员 Emilio Gallegos 成功在易受攻击的 RouterOS 7.x 版本上复现了完整的管理员接管过程。根据他的分析，这个利用链的本质在于攻破了两个不同信任边界的防线。

1. 绕过状态机（CVE-2026-67279）：

正常情况下，RouterOS 的某些深层功能必须要经过身份验证后才能暴露。但这个漏洞允许一个完全未经身份验证的客户端，强行打开一个会话通道（Session Channel），并发送 exec 执行请求。这等于直接绕过了前置的认证状态机。
2. 伪造管理员身份（CVE-2026-86060）：

通道打开后，攻击者利用参数注入，向登录进程提供了一个由攻击者控制的策略掩码（Policy Mask）。最致命的是，后端的登录处理进程竟然毫无防备地将这个来自异常连接的数据，当成了受信任的管理员身份来处理。

用大白话来说：

前门保安（认证组件）睡着了，放进来一个陌生人；结果里面的主管（登录处理进程）不仅没查他的工牌，还因为他拿着一张伪造的高管名片（策略掩码），直接把公司的控制权交给了他。

这暴露出特权软件设计中一个非常典型的风险：当上游组件失去对身份验证状态的追踪时，原本只对受信任本地调用者开放的功能，瞬间就会变成致命的远程攻击面。

写在最后：留给我们的时间不多了

CISA 早在 9 月 11 日就把 CVE-2026-86060 加入了清单，并且给联邦机构下达了死命令：必须在 2026 年 9 月 28 日之前完成修复。

这也侧面说明了事态的严重性。如果你的企业内网或者边缘网络还在使用未打补丁的 SharePoint Server 或 MikroTik RouterOS，请立刻安排升级！别让黑客用这么硬核的技术链，把咱们的内网当成后花园。

大家在做日常渗透测试或者代码审计的时候，也可以多关注一下这种“多组件信任状态不一致”的逻辑缺陷，往往能挖出意想不到的 0day。

好了，今天的技术吃瓜就到这里。对于这个无需密码就能打穿路由器的 MikroTrick 漏洞链，大家有什么看法？欢迎在评论区留言交流！我们下期见。