SharePoint Server · Windows Defender（BlueHammer）
2026 年 9 月至今持续在野利用 · 2 组 CVE
依据 MSRC / NVD / CISA KEV 目录整理
目 录
第一章 专题概述
第二章 SharePoint Server 远程代码执行漏洞（CVE-2026-65660）
2.1 漏洞概览
2.2 漏洞详情
2.3 危害场景
2.4 排查与修复
第三章 Windows 本地提权漏洞 BlueHammer（CVE-2026-33825）
3.1 漏洞概览
3.2 漏洞详情
3.3 危害场景
3.4 排查与修复
第一章 专题概述
本篇聚焦微软生态两枚值得重点关注的漏洞：一枚是发生在企业协作核心平台 SharePoint Server 上的远程代码执行漏洞（CVE-2026-65660），已被 CISA 纳入 KEV 目录并有公开 PoC；另一枚是代号「BlueHammer」的 Windows 本地提权漏洞（CVE-2026-33825），尽管早在 4 月就已修复，但大量设备至今未打补丁，CISA 于近期发出紧急公告，攻击活动至今仍在持续。
CVE 编号 受影响产品 CVSS 利用状态
CVE-2026-65660 SharePoint Server 2016 / 2019 / Subscription Edition 8.8（v3.1） KEV 9/25，公开 PoC
CVE-2026-33825 Windows 10 / Windows 11（Defender 反恶意软件平台） 7.8（v3.1） KEV，大量设备未修复
两枚漏洞攻击形态互补：前者是面向服务端的网络攻击入口，后者是攻击链后段的提权放大器，在企业环境中常被组合使用。
第二章 SharePoint Server 远程代码执行漏洞（CVE-2026-65660）
2.1 漏洞概览
项目 内容
CVE 编号 CVE-2026-65660
漏洞类型 代码注入（CWE-94），经网络执行代码
CVSS 评分 8.8 High（CVSS v3.1，AV:N/AC:L/PR:L/UI:N）
利用条件 需要已认证的用户权限（低权限）
受影响版本 SharePoint Enterprise Server 2016（低于 16.0.5565.1001）、SharePoint Server 2019（低于 16.0.10417.20198）、SharePoint Server Subscription Edition（8 月累积更新前）
利用状态 CISA KEV 9/25 收录；技术细节与 PoC 已公开（奇安信等情报机构已复现）
修复状态 2026-08-11 补丁星期二修复（Subscription Edition 对应 KB5002893）
2.2 漏洞详情
该漏洞源于 SharePoint 对代码生成的控制不当（Improper Control of Generation of Code）。持有有效低权限账号的攻击者，通过向受影响端点提交特制请求即可注入并执行任意代码。微软于 8 月 11 日在例行补丁星期二修复该问题；9 月下旬开始出现明确的在野利用，CISA 于 9 月 25 日将其纳入 KEV 目录，要求联邦机关限期整改。
需要注意 SharePoint 近年的漏洞模式：一旦某代漏洞被公开利用，攻击者会迅速将公开 PoC 改造为批量武器化工具。SharePoint 服务器通常承载门户、文档库与内部流程，且与 Active Directory 深度集成，失陷后可顺势窃取域凭据、向内网渗透。
2.3 危害场景
•以低权限账号为支点：钓鱼或弱口令获得任意一个普通账号后，即可直接利用该漏洞在服务器上执行命令，无需管理员权限；
•数据窃取：SharePoint 站点集合中通常存放大量内部文档与商业数据，可直接批量导出；
•持久化与横向移动：获得服务器 shell 后，可抓取服务账户凭据，横向波及域内其他系统。
2.4 排查与修复
确认版本与补丁状态：
Get-SPFarm | Select BuildVersion # 查看 SharePoint 内部版本号
(Get-SPWebApplication).GetVersion() # 辅助确认版本
版本核对基线：2016 需 16.0.5565.1001 及以上、2019 需 16.0.10417.20198 及以上；Subscription Edition 安装 2026-08-11 累积更新（KB5002893）即可覆盖。注意：该更新要求先安装 SharePoint Workflow Manager（KB5002799），若在使用经典版 Workflow Manager，需按微软说明先开启 debug 标志，否则更新后 Workflow Manager 无法继续使用。
$farm = Get-SPFarm
$farm.ServerDebugFlags.Add(53601)
$farm.update()
iisreset
修复后排查：因漏洞已被在野利用且 PoC 公开，打过补丁不等于无风险。建议回溯审计 IIS 日志中可疑账号对 API 端点的异常调用，检查站点内有无异常新增的解决方案包（Solution）与计划任务，并轮换 SharePoint 服务账户凭据。
第三章 Windows 本地提权漏洞 BlueHammer（CVE-2026-33825）
3.1 漏洞概览
项目 内容
CVE 编号 CVE-2026-33825（代号 BlueHammer）
漏洞类型 本地权限提升（TOCTOU 竞态），普通用户提权至 SYSTEM
CVSS 评分 7.8 Important（CVSS v3.1）
受影响产品 Windows 10 与 Windows 11（Microsoft Defender 反恶意软件平台）
利用条件 攻击者已在目标机器上获得低权限 foothold
利用状态 公开利用工具（BlueHammer）流传，关联攻击者聚类 Nightmare-Eclipse / Chaotic Eclipse；CISA KEV 收录并多次发布紧急公告
修复状态 2026-04-14 例行累积更新已修复，但大量设备至今未更新
3.2 漏洞详情
BlueHammer 并非传统意义上的内存破坏或内核漏洞，而是滥用 Microsoft Defender 以 SYSTEM 权限执行签名更新与修复（Remediation）工作流时的检查/使用时序缺陷（Time-of-check to Time-of-use）。攻击者利用 Defender 更新签名时的检查空窗期，通过卷影复制服务（VSS）、Cloud Files、机会锁（Opportunistic Locks）与路径重定向等合法 Windows 机制组合，把 SYSTEM 权限上下文中的文件操作劫持到恶意路径，最终让 Defender 以 SYSTEM 权限执行攻击者投放的代码，完成由普通用户到系统最高权限的跃迁。
该漏洞于 4 月 3 日首次公开，微软在 4 月 14 日例行更新中修复并全渠道推送。但其利用工具（即 BlueHammer）随后公开发布且被多个攻击者群体采用，大量未打补丁的设备至今仍处于攻击窗口内。CISA 紧急公告明确指出，现有证据表明仍有大量活跃攻击者正在利用该漏洞攻击 Win10/Win11 用户，未打补丁的设备面临被完全接管的风险。
3.3 危害场景
BlueHammer 属于「后渗透放大器」：单独利用无法突破机器边界，但在钓鱼、勒索软件、红队工具链中价值极高------攻击者拿到任意普通用户权限后一步提权至 SYSTEM，即可关闭 Defender 实时防护、转储密码哈希、部署持久化后门。由于利用不依赖内核漏洞，在开启内核防护（HVCI）等现代加固的设备上同样有效，防御方往往难以通过常规加固缓解。
3.4 排查与修复
个人用户与企业环境均可通过系统更新直接解决：
PowerShell 检查补丁状态
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5
Defender 平台版本检查（应高于 4 月修复版本）
Get-MpComputerStatus | Select-Object AMServiceVersion, AntivirusSignatureVersion
修复方案：安装 2026 年 4 月 14 日及之后的 Windows 累积安全更新（设置 > Windows 更新 > 检查更新）。企业环境应通过 WSUS / Intune / SCCM 核查全量终端的 4 月累积更新覆盖率，将「4 月 14 日之前」的设备列为高危资产强制整改；对长期离线、无法更新的终端，建议直接重装或淘汰。