CVE-2026-63520：SharePoint 远程代码执行漏洞链已被在野探测，PoC 已公开

sec随谈
sec随谈

sec随谈

2026年8月26日 09:16
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

摘要

安全研究人员已公开发布了一个严重 SharePoint 远程代码执行漏洞 CVE-2026-63520 的完整技术细节和概念验证（PoC）漏洞利用代码。威胁行为者目前正在结合一个身份验证绕过漏洞对该漏洞进行在野探测。因此，运行本地部署 SharePoint 服务器的组织必须立即安装微软的安全更新，以保护自身系统。

为何该漏洞如此重要

该漏洞对企业环境构成了迫在眉睫的威胁。当攻击者将该漏洞与身份验证绕过漏洞 CVE-2026-55040 结合使用时，就能实现未经身份验证的远程代码执行。此外，威胁监测团队已经在真实环境中发现了主动利用的尝试。

安全公司 Defused 在 X 平台上报告称，威胁行为者正在积极扫描存在漏洞的实例。研究人员确认，\"我们在自己的蜜罐中观察到，SharePoint CVE-2026-55040 + CVE-2026-63520 这条远程代码执行利用链正在被探测利用。\"行业估计数据显示，仍有数万台 SharePoint 服务器暴露在公开互联网上。因此，未打补丁的系统面临被远程接管的直接风险。

攻击原理

根本原因在于 Microsoft SharePoint 的业务数据连接（Business Data Connectivity）子系统内部。具体来说，该组件在解析模型文件时，未能对 .NET 类型的实例化进行限制。

不受限制的类型解析

该漏洞存在于 DbTypeReflector 类中。根据分析，\"该漏洞存在于 Microsoft.SharePoint.BusinessData.SystemSpecific.Db.DbTypeReflector.ResolveDotNetType() 方法中，该方法会直接对攻击者可控的 TypeDescriptor 的 TypeName 值调用 Type.GetType()，且不进行任何校验。\"

当类型名称超过 14 个字符时，该方法会直接调用 Type.GetType()。由于代码中缺少允许列表（allowlist）机制，它会解析全局程序集缓存（Global Assembly Cache）中的任意类型。因此，攻击者可以在一个恶意的元数据文件中定义任意的 .NET 对象。

执行\"gadget链\"

接下来，攻击者会将一个精心构造的模型文件上传到 SharePoint 服务器。攻击者利用 ObjectDataProvider 类来触发执行：通过设置特定的对象属性，强制服务器启动外部进程。

与此同时，其他安全研究人员也发现了另外的利用路径。例如，研究人员可以通过将 DotNetAssembly 系统与 LosFormatter gadget 链结合使用来触发执行。这些多样化的攻击链使得攻击者能够以 SharePoint 服务账户的权限执行命令。

受影响版本

这个严重的 SharePoint 远程代码执行漏洞影响 Microsoft SharePoint 的多个受支持版本，受影响产品包括 SharePoint Server 订阅版（Subscription Edition）16.0.19725.20210 及更早的构建版本。此外，较旧的、仍在受支持范围内的 SharePoint Server 版本同样包含存在漏洞的子系统。

修复补丁及应对措施

微软已在 2026 年 8 月 11 日的安全更新中修复了该漏洞。系统管理员必须立即在所有服务器场（server farm）中应用最新的官方 SharePoint 更新。完整的技术分析可参阅 Rapid7 漏洞报告。

此外，防御方应留意网络日志中针对元数据目录端点的可疑请求。相关威胁情报发现可参阅 X 平台上的 Defused 蜜罐告警。在所有补丁完成部署之前，将管理端点的访问权限限制在内部网络范围内，可以提供额外的防护。

参考链接：

https://x.com/DefusedCyber/status/2092228764323217723

https://www.rapid7.com/blog/post/ra-microsoft-sharepoint-remote-code-execution-cve-2026-63520/