適用對象：在自己的伺服器上執行 Microsoft SharePoint Server（Subscription Edition、2019 或 2016）的組織，以及為其維護伺服器的合作夥伴。公告中沒有列出 Microsoft 365 中的 SharePoint Online。本文根據 Microsoft 的資安更新指南、NVD 與 CISA 的 KEV 目錄撰寫，不包含攻擊步驟或利用程式碼。
進行中：隨著更多資訊公布，本頁將持續更新
- 適用對象
在自己的伺服器上執行 Microsoft SharePoint Server（Subscription Edition、2019 或 2016）的組織，以及為其維護伺服器的合作夥伴。公告中沒有列出 Microsoft 365 中的 SharePoint Online。
- 已確認的影響範圍查看表格 ↓
- 受影響產品與修補組建
- 需要登入
- 實際攻擊
列為可能涉及的項目
- 透過匿名檢視在無需登入的情況下發動的嘗試
- 尚未確認的事項
- 有多少台伺服器遭到攻擊或入侵
- 2026年6月修補的另一個問題的 CVE 編號，以及 Microsoft 是否將兩者連結
- 攻擊者在伺服器上執行程式碼後做了什麼
- 現在要做的事查看步驟 ↓
- 檢查伺服器陣列中每台伺服器的組建
- 安裝適用於您版本的所有更新套件
- 確認2026年6月的更新也已安裝
另外2項
- 審查匿名存取
- 檢查更新曾經落後的伺服器
- 查證來源（出處）全部來源 ↓
- Microsoft，資安更新指南：CVE-2026-65660，Microsoft SharePoint Server Remote Code Execution Vulnerability（2026年8月11日；修訂版 1.2，9月25日）
- 最後查證
- 截至2026年10月31日（日本時間）
續報計畫與查證紀錄
Microsoft 的公告（修訂版 1.2，9月25日）與 KEV 條目均已公開。我們在10月31日核對了 Microsoft 的資安更新指南、NVD 以及 CISA 的 KEV 資料來源（版本 2026.10.30）。
今天要做的事
檢查伺服器陣列中每台伺服器的組建
在 SharePoint 管理中心，或在每台伺服器上使用 PowerShell，讀取已安裝的組建，並與您所用版本的修補組建比對：Subscription Edition 16.0.19725.20522，2019 為 16.0.10417.20198，2016 為 16.0.5565.1001。請檢查伺服器陣列中的每台伺服器，包括搜尋伺服器與應用程式伺服器。
安裝適用於您版本的所有更新套件
Subscription Edition：KB5002893。SharePoint Server 2019：KB5002894 與 KB5002896。SharePoint Enterprise Server 2016：KB5002905 與 KB5002906。Microsoft 的 FAQ 表示，應套用為已安裝軟體提供的所有更新。安裝後，請在每台伺服器上執行 SharePoint 產品設定精靈（或 PSConfig），以完成更新。
確認2026年6月的更新也已安裝
一家資安公司回報，攻擊嘗試將該漏洞與另一個問題組合在一起；一個資安研究團隊表示，該問題已於2026年6月9日修補。請確保已安裝2026年6月的 SharePoint 更新，而不只是8月的。
審查匿名存取
該資安公司描述的攻擊嘗試，依賴於允許匿名檢視的網站。請列出哪些 Web 應用程式與網站開啟了匿名存取，並在不需要的地方將其關閉。除非必須公開，否則不要讓 SharePoint 暴露在網際網路上，並盡可能將其置於需要登入的閘道之後。
檢查更新曾經落後的伺服器
KEV 將該 CVE 標示為適用 CISA 的鑑識分級要求。一般而言（本站建議）：尋找 SharePoint 的 Web 資料夾中並非由您的團隊部署的新 .aspx 或 .dll 檔案、由 IIS 背景工作處理序啟動的非預期程序，以及 IIS 日誌中來自您不認得的位址的異常 POST 請求。如果發現任何無法解釋的情況，請隔離該伺服器，讓您的事件應變團隊介入，並在重新連線之前輪替該伺服器持有的憑證與金鑰。
已揭露的內容
- 產品
- Microsoft SharePoint Server Subscription Edition、SharePoint Server 2019、SharePoint Enterprise Server 2016（本地端部署）
- 類型
- 程式碼注入（CWE-94）
- 身分驗證
- 需要：低層級存取權。無需使用者互動（Microsoft）
- 嚴重程度
- CVSS v3.1 8.8；Microsoft 評等為「重要」
- 修補組建
- Subscription Edition 16.0.19725.20522（KB5002893）；2019 為 16.0.10417.20198（KB5002894、KB5002896）；2016 為 16.0.5565.1001（KB5002905、KB5002906）
- 發布
- 2026年8月11日（每月資安更新）
- 遭利用情形
- 截至2026年9月25日，「已有觀察到攻擊的可靠證據」（Microsoft）
- KEV
- 2026年9月25日列入；期限9月28日。被標示為適用 CISA 的鑑識分級要求
1. 檢查組建
伺服器陣列中的每台伺服器
2. 安裝所有套件
8月的 KB，以及6月的更新
3. 審查與檢查
匿名存取；遭入侵的跡象
時間軸
2026年6月9日
一個資安研究團隊回報，SharePoint 中另一個允許匿名送達請求的問題已於這一天修補（其說明文章中沒有指出 CVE 編號）。8月11日
Microsoft 發布 CVE-2026-65660 與資安更新，最初將其描述為詐騙漏洞。8月27日
Microsoft 將標題、影響與 FAQ 改為遠端程式碼執行（修訂版 1.1，標示為僅供參考的變更）。9月24日
一家資安公司回報誘捕系統上的攻擊嘗試，這些嘗試將該漏洞與另一個匿名送達問題組合在一起。9月25日
Microsoft 補充表示已有觀察到攻擊的可靠證據（修訂版 1.2）。CISA 將該 CVE 加入 KEV 目錄，期限為9月28日。10月31日
Microsoft 的公告沒有進一步修訂。
已知與未知的資訊
| 項目 | 來源的說法 | 狀態 |
|---|---|---|
| 受影響產品與修補組建 | 三個本地端部署版本；8月11日的更新 | 已確認（Microsoft） |
| 需要登入 | 低層級存取權，無需使用者互動 | 已確認（Microsoft） |
| 實際攻擊 | 已有觀察到攻擊的可靠證據（9月25日） | 已確認被濫用（Microsoft） |
| 透過匿名檢視在無需登入的情況下發動的嘗試 | 在誘捕系統上觀察到的嘗試，與另一個問題組合 | 可能 |
| 6月那個問題的 CVE 編號 | 在我們查閱的來源中未能確定 | 未說明 |
| 遭入侵伺服器的數量 | 未公布 | 未說明 |
| SharePoint Online | 未列於 Microsoft 的公告中 | 未說明 |
截至10月31日，Microsoft 的公告資料在其摘要欄位中仍顯示「Exploited: No」，而9月25日的修訂說明則表示已觀察到攻擊。修訂說明是較晚的表述，且 CISA 將該 CVE 列為已遭利用。
為什麼最初的標籤很重要
8月11日更新發布時，公告將其稱為詐騙漏洞。直到8月27日，它才在一次被 Microsoft 標示為僅供參考的修訂中變為遠端程式碼執行；Microsoft 認為修訂版 1.1 不需要發出通知。依影響類型為8月更新排序的團隊，可能把它排在其他修補之後。
對任何 SharePoint 伺服器陣列而言，教訓是：每個月的 SharePoint 更新要整套安裝，而不是依每個 CVE 的標籤挑選。標籤可能在發布後改變，而一個需要登入的漏洞，也可能與另一個免除這項要求的漏洞組合在一起。
資料來源
於2026年10月31日（日本時間）查證。
- Microsoft，資安更新指南：CVE-2026-65660，Microsoft SharePoint Server Remote Code Execution Vulnerability（2026年8月11日；修訂版 1.2，9月25日） — msrc.microsoft.com
- NVD，CVE-2026-65660 — nvd.nist.gov
- CISA，Known Exploited Vulnerabilities Catalog（2026年9月25日列入） — cisa.gov
- 一家資安公司關於攻擊嘗試的報告（2026年9月24日；9月25日更新） — blog.previdian.com
更新紀錄
2026-10-31：首版，根據 Microsoft 的資安更新指南、NVD、CISA 的 KEV 目錄以及一家資安公司的報告。
延伸閱讀
- 同一時期遭利用：2026 年 10 月中旬遭利用的邊緣設備漏洞
- 決定修補優先順序：如何決定先修補哪些 CVE（CVSS、EPSS、KEV）
- 檢查是否遭入侵：如何確認伺服器是否遭入侵
- 應變步驟：漏洞修補作業手冊
- 術語：什麼是遠端程式碼執行（RCE）？ / 什麼是 CVSS？