先說結論：有本地部署 Microsoft SharePoint Server 的單位應核對 CVE-2026-65660 和實際安裝的固定版本。加拿大網安中心九月二十四日警示已見活躍利用；CISA 九月二十五日將它加入已知遭利用清單。此弱點本身涉及授權後的程式碼注入，即有權限者輸入可能改變伺服器執行內容；在具匿名存取及其他漏洞未完整修補的環境，可能被連鎖利用而提高風險。本文十月四日重新取得兩個官方來源，分清單一漏洞的條件與連鎖情境，不直接宣稱每個 SharePoint 站點都可匿名接管。
背景與前因：SharePoint Server 常承載內部文件、協作頁面及權限資訊，多個前端與應用節點也可能共享同一內容環境。Microsoft 在八月十一日發布相關安全資訊，但加拿大網安中心於九月二十四日再次示警活躍利用與更新範圍。這代表不能把『曾安裝八月更新』簡化成『一定已達現時固定版本』，仍要讀取實際組建號與當前公告。CISA 收錄 KEV 代表有已知利用證據，並不告訴讀者自己的文件是否已外洩。補刊需保留八月原公告、九月警示以及十月四日查核的各自時間。
原因與前置條件：加拿大警示將 CVE-2026-65660 說明為程式碼產生控制不當，可讓已通過驗證的攻擊者在脆弱的 SharePoint Server 上執行任意程式。它另外指出，若與其他 SharePoint 弱點串接，且站點允許匿名存取，可能達到登入前的遠端執行。兩種敘述不是同一個前置條件；如果只寫『無需登入就能利用本 CVE』，會忽略連鎖條件而誤導。維運者應同步查看匿名設定、先前安全更新是否齊全，以及管理介面是否不必要地暴露在網際網路。公開文章不包含任何可操作的連鎖利用路徑。
影響範圍：加拿大網安中心列出 SharePoint Enterprise Server 2016 固定版本 16.0.5565.1001、Server 2019 固定版本 16.0.10417.20198、Subscription Edition 固定版本 16.0.19725.20522。低於對應數字的部署要按 Microsoft 最新修補指引核對；多伺服器農場不能只看中央管理畫面或一台前端。警示亦指出 2016 與 2019 版本於二〇二六年七月已結束生命週期，維護此類版本的單位除了緊急減少暴露，也需要有遷移與支援計畫。這篇討論的是本地 SharePoint Server，不能把 Microsoft 365 的雲端服務一概納入相同清單。
這個事件至少有兩個需要分開閱讀的官方時間點。Canadian Centre for Cyber Security 在 2026-09-24 公開與 CVE-2026-65660 相關的產品資訊；CISA 於 2026-09-25 將同一編號收錄於已知遭利用漏洞目錄。後者又稱 KEV，是政府用來標示已有利用證據、應提高處置優先級的公開清單。收錄日期不等於漏洞首次出現，也不會替任何單一單位證明資產已被攻破。本文在 2026-10-04 重新取得兩份來源，將原始事件與本次查核日期分開標示。
風險判斷應回到具體產品與部署條件。官方將單一漏洞描述為已驗證攻擊者的程式碼注入，匿名遠端執行取決於與其他弱點連鎖及環境設定，並未說所有農場都已受害。即使漏洞已列入 KEV，也不能把全球的利用證據直接寫成讀者所在環境的事件報告；相反地，沒有看到本地告警同樣不足以保證從未有人嘗試存取。應先確認自己是否真正使用 Microsoft SharePoint Server 2016、2019 與 Subscription Edition 本地部署，再把版本、可達性、服務角色和可用的紀錄放在同一個判斷框架內，避免只憑產品名稱或嚴重度分數作結論。
你可以怎麼做：先盤點每個 SharePoint 農場、對外 URL、各節點組建號、匿名權限與管理入口，確認正式與備援環境。依 Microsoft 與加拿大警示核對固定版，完成必要累積更新後逐節點回讀版本並測試登入、文件存取和搜尋。可行時減少直接對網際網路開放、收緊中央管理權限並檢查停用帳號。若懷疑異常，先保存 SharePoint、IIS 網頁服務、端點防護及身分驗證日誌，再由應變人員分析管理操作、意外的網頁組件變動與程式執行事件。對已停止支援版安排遷移，暫時隔離不能當成修補完成。
盤點時可以把每一個SharePoint 農場節點寫成可追蹤的一列：產品與型號、目前版本、部署位置、管理責任人、對外或對內的可達性、資料最後確認時間，以及是否另有備援、測試或長期離線的副本。集中管理平台的清單可能漏掉尚未回報的設備，資產標籤也可能與實際運行版本不同；因此重要節點應由現場或受信任的管理介面再核對。把例外與期限記在同一份紀錄，比口頭說『都已檢查』更能支援後續複查。
修補完成的判斷不能只停在工單或下載紀錄。安排SharePoint 累積安全更新之前，先按既有維運程序保存必要設定、確認支援與相容性，並準備回復方案；完成後從實際提供服務的節點讀取版本或修補狀態，測試最重要的正常工作流程。若同一服務有多個節點，應逐一驗證，避免流量切換後又落回未更新的副本。原廠日後可能更改修補路徑，本文記錄的是本次查核時可取得的官方資訊，更新工作仍應以最新公告為準。
事件應變和版本更新雖然相關，卻不是同一個檢查。版本落後足以支持儘快修補，未必證明曾遭利用；完成更新降低後續暴露，也不能倒推過去絕無異常。若既有監控出現可疑跡象，應保存原始日誌、時間線及必要的組態差異，交由有權限的資安或維運人員依組織流程判讀。公開文章不應包含任何真實憑證、個資、內部位址或可操作的利用步驟，以免在通報風險時增加新的暴露。
這次最關鍵的是修補號與連鎖條件的雙重核對。加拿大警示列出的固定組建號是對照現場版本的具體門檻，單看『已安裝某月更新』或掃描器報告標題不足以證明全農場符合。匿名存取若與舊漏洞共存，會改變風險排序，但不代表每個匿名頁面都被利用。調查時應把網站、應用與身分記錄放在同一時間軸，避免單靠某個可疑請求作結論。若更新流程涉及自訂解決方案，應先在測試環境確認相容性，卻不能因此無限期延後對外曝露節點的安全處置。
仍須由使用單位自行回答的問題是：目前有多少SharePoint 農場節點、哪些仍在受影響版本、SharePoint 累積安全更新是否覆蓋正式與備援環境，以及保留的紀錄能否支持事件調查。Canadian Centre for Cyber Security 與 CISA 的公開資料提供產品界線和優先處置訊號，卻不能替每個現場完成資產盤點。若無法取得相應修補或環境已停止安全支援，應向供應商確認替代方案並記錄風險處置，不把臨時隔離措施描述成漏洞已經修復。
這篇補刊聚焦 CVE-2026-65660，原廠事件日期為 2026-09-24，CISA KEV 收錄日為 2026-09-25，兩個官方來源在 2026-10-04 重新查核。可交付的工作是確認 Microsoft SharePoint Server 2016、2019 與 Subscription Edition 本地部署 的實際部署範圍、按原廠指引完成SharePoint 累積安全更新、回讀結果並追蹤例外。公開公告支持修補優先級，並不等於任一特定讀者已遭入侵或資料外洩；最終影響仍須由現場證據和專業調查判定。
官方來源：
- AL26-023 — Vulnerability Impacting Microsoft SharePoint Server — CVE-2026-65660（Canadian Centre for Cyber Security）
- Known Exploited Vulnerabilities Catalog — CVE-2026-65660（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。