【已复现】CVE-2026-65660 Microsoft SharePoint 远程代码执行漏洞

梅伊斯
梅伊斯

源影安全团队

2026年9月22日 22:37
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

SharePoint 是微软推出的企业级协作平台与内容管理系统，本地部署版本（SharePoint Server 2013/2016/2019/Subscription Edition）在全球政企内网中应用极为广泛，常见用途包括搭建企业内部门户、团队协作站点、文档管理与工作流审批等。由于它天然承载着组织的文档、人员和业务流程数据，且大量实例直接对外提供服务，SharePoint Server 一直是攻击者眼中高价值的目标——近两年多个微软补丁日中，SharePoint 相关漏洞都占据了重要位置。

CVE-2026-65660 是 Microsoft SharePoint Server 的一个远程代码执行漏洞，存在于 Web 部件页面的设计时解析流程中。当服务端处理攻击者提交的 WebPart 标记时，负责重新生成 Register 指令的代码没有对属性值中的引号做过滤，攻击者可以借此伪造出一条新的 Register 指令，把危险命名空间“走私”进解析环节，绕过 EditingPageParser.VerifyControlOnSafeList() 的安全控制，最终结合 XamlServices.Parse()、ObjectDataProvider、ExpandedWrapper 等 gadget 实现任意代码执行，并可进一步植入无文件内存马实现持久化控制。该漏洞影响 SharePoint Server 2013/2016/2019/Subscription Edition 的全部未打 2026 年 8 月补丁（8 月 11 日发布）的版本。利用上，攻击者只需一个具备站点 Design 权限（可编辑页面）的普通账号，发送单个 HTTP 请求即可让命令以 SharePoint 应用程序池身份（通常为场管理员级别的服务账户）执行——这意味着从“能编辑网页的普通用户”直接跳到“整个 SharePoint 场的沦陷”，可进一步读取全部内容数据库、提取 MachineKey 实现持久化控制。至于“无认证利用”，原始披露报告称在 2026 年 6 月补丁之前的构建上、配合开启匿名访问的站点可以无需任何账号触发。

利用窗口

参考链接

https://blog.viettelcybersecurity.com/sharepoint\_cve-2026-65660/