适用对象：在自己的服务器上运行 Microsoft SharePoint Server（Subscription Edition、2019 或 2016）的组织，以及为其维护服务器的合作伙伴。公告中没有列出 Microsoft 365 中的 SharePoint Online。本文基于 Microsoft 的安全更新指南、NVD 和 CISA 的 KEV 目录，不包含攻击步骤或利用代码。
持续更新中：随着更多信息发布，本页面将会更新
- 适用对象
在自己的服务器上运行 Microsoft SharePoint Server（Subscription Edition、2019 或 2016）的组织，以及为其维护服务器的合作伙伴。公告中没有列出 Microsoft 365 中的 SharePoint Online。
- 已确认的影响范围查看表格 ↓
- 受影响产品和修复版本号
- 需要登录
- 在野攻击
被列为可能涉及的项目
- 通过匿名浏览在无需登录的情况下发起的尝试
- 尚未确认的事项
- 有多少台服务器遭到攻击或被入侵
- 2026年6月修复的另一个问题的 CVE 编号，以及 Microsoft 是否将两者联系起来
- 攻击者在服务器上执行代码后做了什么
- 现在要做的事查看步骤 ↓
- 检查服务器场中每台服务器的版本号
- 安装适用于您版本的所有更新包
- 确认2026年6月的更新也已安装
另外2项
- 审查匿名访问
- 检查更新曾经滞后的服务器
- 核实来源（出处）全部来源 ↓
- Microsoft，安全更新指南：CVE-2026-65660，Microsoft SharePoint Server Remote Code Execution Vulnerability（2026年8月11日；修订版 1.2，9月25日）
- 最后核实
- 截至2026年10月31日（日本时间）
续报计划与核实记录
Microsoft 的公告（修订版 1.2，9月25日）和 KEV 条目均已公开。我们在10月31日核对了 Microsoft 的安全更新指南、NVD 以及 CISA 的 KEV 数据源（版本 2026.10.30）。
今天要做的事
检查服务器场中每台服务器的版本号
在 SharePoint 管理中心中，或在每台服务器上使用 PowerShell，读取已安装的版本号，并与您所用版本的修复版本号进行比较：Subscription Edition 16.0.19725.20522，2019 为 16.0.10417.20198，2016 为 16.0.5565.1001。请检查服务器场中的每台服务器，包括搜索服务器和应用程序服务器。
安装适用于您版本的所有更新包
Subscription Edition：KB5002893。SharePoint Server 2019：KB5002894 和 KB5002896。SharePoint Enterprise Server 2016：KB5002905 和 KB5002906。Microsoft 的 FAQ 表示，应安装为已安装软件提供的所有更新。安装后，请在每台服务器上运行 SharePoint 产品配置向导（或 PSConfig），以完成更新。
确认2026年6月的更新也已安装
一家安全公司报告称，攻击尝试将该漏洞与另一个问题组合在一起；一个安全研究团队表示，那个问题已于2026年6月9日修复。请确保已安装2026年6月的 SharePoint 更新，而不只是8月的。
审查匿名访问
该安全公司描述的攻击尝试依赖于允许匿名浏览的站点。请列出哪些 Web 应用程序和站点开启了匿名访问，并在不需要的地方将其关闭。除非必须公开，否则不要让 SharePoint 暴露在互联网上，并尽可能将其置于需要登录的网关之后。
检查更新曾经滞后的服务器
KEV 将该 CVE 标注为适用 CISA 的取证分级要求。一般而言（本站建议）：查找 SharePoint 的 Web 文件夹中并非由您的团队部署的新 .aspx 或 .dll 文件、由 IIS 工作进程启动的意外进程，以及 IIS 日志中来自您不认识的地址的异常 POST 请求。如果发现任何无法解释的情况，请隔离该服务器，让您的事件响应团队介入，并在重新连接之前轮换该服务器持有的凭据和密钥。
已披露的内容
- 产品
- Microsoft SharePoint Server Subscription Edition、SharePoint Server 2019、SharePoint Enterprise Server 2016（本地部署）
- 类型
- 代码注入（CWE-94）
- 身份验证
- 需要：低级别访问权限。无需用户交互（Microsoft）
- 严重程度
- CVSS v3.1 8.8；Microsoft 评级为“重要”
- 修复版本号
- Subscription Edition 16.0.19725.20522（KB5002893）；2019 为 16.0.10417.20198（KB5002894、KB5002896）；2016 为 16.0.5565.1001（KB5002905、KB5002906）
- 发布
- 2026年8月11日（每月安全更新）
- 利用情况
- 截至2026年9月25日，“已有观察到攻击的可靠证据”（Microsoft）
- KEV
- 2026年9月25日列入；截止日期9月28日。被标注为适用 CISA 的取证分级要求
1. 检查版本号
服务器场中的每台服务器
2. 安装所有更新包
8月的 KB，以及6月的更新
3. 审查与检查
匿名访问；被入侵的迹象
时间线
2026年6月9日
一个安全研究团队报告称，SharePoint 中另一个允许匿名送达请求的问题已于这一天修复（其说明文章中没有给出 CVE 编号）。8月11日
Microsoft 发布 CVE-2026-65660 及安全更新，最初将其描述为欺骗漏洞。8月27日
Microsoft 将标题、影响和 FAQ 改为远程代码执行（修订版 1.1，标注为仅信息性更改）。9月24日
一家安全公司报告了蜜罐上的攻击尝试，这些尝试将该漏洞与另一个匿名送达问题组合在一起。9月25日
Microsoft 补充称已有观察到攻击的可靠证据（修订版 1.2）。CISA 将该 CVE 加入 KEV 目录，截止日期为9月28日。10月31日
Microsoft 的公告没有进一步修订。
已知与未知的信息
| 项目 | 来源的说法 | 状态 |
|---|---|---|
| 受影响产品和修复版本号 | 三个本地部署版本；8月11日的更新 | 已确认（Microsoft） |
| 需要登录 | 低级别访问权限，无需用户交互 | 已确认（Microsoft） |
| 在野攻击 | 已有观察到攻击的可靠证据（9月25日） | 已确认被滥用（Microsoft） |
| 通过匿名浏览在无需登录的情况下发起的尝试 | 在蜜罐上观察到的尝试，与另一个问题组合 | 可能 |
| 6月那个问题的 CVE 编号 | 在我们查阅的来源中未能确定 | 未说明 |
| 被入侵服务器的数量 | 未公布 | 未说明 |
| SharePoint Online | 未列在 Microsoft 的公告中 | 未说明 |
截至10月31日，Microsoft 的公告数据在其摘要字段中仍显示“Exploited: No”，而9月25日的修订说明则称已观察到攻击。修订说明是较晚的表述，并且 CISA 将该 CVE 列为已被利用。
为什么最初的标签很重要
8月11日更新发布时，公告将其称为欺骗漏洞。直到8月27日，它才在一次被 Microsoft 标注为仅信息性更改的修订中变为远程代码执行；Microsoft 认为修订版 1.1 不需要发送通知。按影响类型对8月更新进行排序的团队，可能把它安排在其他修复之后。
对任何 SharePoint 服务器场来说，教训是：每个月的 SharePoint 更新要作为一整套安装，而不是根据每个 CVE 的标签来挑选。标签可能在发布后发生变化，而一个需要登录的漏洞也可能与另一个消除这一要求的漏洞组合在一起。
信息来源
于2026年10月31日（日本时间）核实。
- Microsoft，安全更新指南：CVE-2026-65660，Microsoft SharePoint Server Remote Code Execution Vulnerability（2026年8月11日；修订版 1.2，9月25日） — msrc.microsoft.com
- NVD，CVE-2026-65660 — nvd.nist.gov
- CISA，Known Exploited Vulnerabilities Catalog（2026年9月25日列入） — cisa.gov
- 一家安全公司关于攻击尝试的报告（2026年9月24日；9月25日更新） — blog.previdian.com
更新记录
2026-10-31：首版，基于 Microsoft 的安全更新指南、NVD、CISA 的 KEV 目录以及一家安全公司的报告。
延伸阅读
- 同一时期被利用：2026年10月中旬被利用的边缘设备漏洞
- 确定修复优先级：如何决定先修复哪些 CVE（CVSS、EPSS、KEV）
- 检查是否被入侵：如何检查您的服务器是否已被入侵
- 响应步骤：漏洞修复操作手册
- 术语：什么是远程代码执行（RCE）？ / 什么是 CVSS？