Microsoft SharePoint 两个漏洞链遭攻击者利用：未打补丁服务器面临远程代码执行风险
据 BleepingComputer 于 2026 年 8 月 26 日报道，威胁情报公司 Defused 发现，攻击者正在针对 Microsoft SharePoint 中由两个漏洞组成的攻击链发起活动。来源显示，该漏洞链在存在公开 PoC 利用代码的情况下，可能让攻击者在未打补丁的 SharePoint 服务器上执行任意代码。对于依赖 SharePoint 进行跨境协作、文档共享、内部审批和远程办公的企业与团队而言，这类漏洞不只是服务器安全问题，也可能影响海外员工访问、账号权限、文件资产和业务连续性。
事件要点：PoC 出现后，未修复服务器更容易被盯上
SharePoint 常被用于企业内部知识库、项目文档、合同流转和跨部门协作。来源摘要指出，攻击者当前瞄准的是两个 SharePoint 漏洞组合形成的 RCE 链，也就是远程代码执行链。RCE 的核心风险在于，一旦服务器满足漏洞利用条件，攻击者可能不需要合法登录就能在服务器侧执行恶意指令，进而扩大访问范围或植入后门。
值得注意的是，来源提到与该漏洞链相关的 PoC exploit。PoC 原本常用于安全研究和漏洞验证，但在公开传播后，也会降低攻击门槛，使更多攻击者能够快速扫描互联网上暴露的目标。对于尚未完成补丁更新、仍直接暴露在公网的 SharePoint 实例，风险会明显上升。
- 受关注对象：未打补丁的 Microsoft SharePoint 服务器。
- 主要风险：两个漏洞串联后可能导致任意代码执行。
- 触发背景：相关 PoC 利用代码出现后，攻击活动被威胁情报方观察到。
- 潜在影响：企业文档、账号权限、内部系统入口和远程办公流程可能受到牵连。
跨境办公与账号安全影响：不只是 IT 部门的补丁问题
从跨境用户视角看，SharePoint 往往连接着海外员工、外包团队、客户账号和多地区项目资料。若服务器被攻击者控制，风险可能沿着账号体系继续扩散。例如，攻击者可能借助服务器权限接触内部文件、会话信息或认证相关配置，进而影响 Microsoft 365、企业邮箱、单点登录以及其他对接系统的可信度。
对于经常在不同国家和地区远程访问公司资源的团队，访问环境本身也会放大排查难度。正常的海外登录、代理出口、企业 VPN 节点和异常攻击流量可能混杂在一起，导致安全团队更难判断哪些连接是真实员工行为，哪些是扫描或利用尝试。因此，企业不能只依赖“封海外 IP”这类粗暴策略，而应结合补丁状态、登录行为、设备合规和访问日志进行综合判断。
如果 SharePoint 被用作合同、发票、付款审批或供应商资料管理平台，攻击还可能间接影响支付流程。攻击者一旦接触到敏感文档，可能发起伪造付款指令、篡改收款信息或针对财务人员实施后续钓鱼。跨境支付场景中，银行账户、收款主体、币种和地区信息较复杂，更需要对文档变更和审批链路保持警惕。
企业与远程团队应关注的处置方向
来源显示风险集中在未修复服务器上，因此首要动作仍是确认 SharePoint 的补丁和安全更新状态。管理员应检查是否存在公网暴露实例，优先处理对外可访问、承载敏感数据或连接身份系统的服务器。同时，建议复核近期日志，关注异常请求、未知 Web 组件、非预期进程和可疑管理员操作。
对跨境团队而言，还应同步加强账号侧防护。包括启用多因素认证、限制高权限账号的使用范围、检查第三方应用授权，并对异常地点登录、短时间多地登录等行为进行告警。VPN、零信任访问或堡垒机可以作为访问控制工具，但它们不能替代漏洞修复；如果后端 SharePoint 本身未更新，单纯改变访问线路并不能消除 RCE 风险。
总体来看，本次事件提醒企业：公开 PoC 出现后，漏洞从“理论风险”转向“可被快速复制的攻击路径”的时间可能很短。使用 SharePoint 支撑跨境办公的组织，应把补丁管理、访问控制、账号审计和支付资料保护放在同一套安全流程中处理，避免单点服务器问题演变为账号、文档和财务链路的综合风险。