Microsoft SharePoint 曝在野利用 RCE 漏洞 CVE-2026-58644：CNVD 紧急收录，企业门户需立即更新

Microsoft SharePoint Server 是美国微软推出的企业级协同办公与内容管理平台，广泛应用于国内政企机构的内部网站、文档管理和业务工作流。近日，该产品被曝存在高危远程代码执行漏洞，国家信息安全漏洞共享平台（CNVD）已紧急收录并发布安全公告。

一、漏洞速览

关键信息：无需身份验证即可远程执行任意代码，且微软已确认漏洞在野被利用。这意味着攻击者只要能够访问 SharePoint 服务器网络端口，就能发起攻击。

产品版本	是否受影响
Microsoft SharePoint Server Subscription Edition	✅ 受影响
Microsoft SharePoint Server 2019	✅ 受影响
Microsoft SharePoint Enterprise Server 2016	✅ 受影响

这三个版本覆盖了绝大多数企业 SharePoint 部署实例。如果你所在企业使用了以上任一版本，请尽快完成补丁更新。

攻击者向受影响的 SharePoint 服务器发送特制网络数据包触发漏洞，无需登录凭证，无需交互，直接实现远程代码执行。从攻击面来看：

这与 2023 年的 CVE-2023-29357（SharePoint 权限提升链）和 CVE-2023-24955（SharePoint Server RCE）属于同一攻击面家族的延续。微软在 2026 年 7 月的安全更新中修复了该漏洞，但同时也确认在补丁发布前已有攻击者在野利用。

SharePoint 是内网核心：存放大量企业敏感文档（合同、财务报表、人事档案、客户数据），一旦被控等于数据全盘泄露。
横向移动跳板：SharePoint 常与 Active Directory 集成，攻击者拿下 SharePoint 后可直接对内网其他 Windows 主机发起攻击。
在野利用意味着窗口期极短：补丁发布前已经有攻击者在利用，从”漏洞披露”到”被利用”的时间差趋近于零。
国内政企部署量大：SharePoint 是许多政府机构、央企、大型民企的标准内部协作平台，受影响面极广。

微软已发布对应版本的安全更新：

产品版本	补丁下载
SharePoint Server Subscription Edition	KB 下载
SharePoint Server 2019	KB 下载
SharePoint Enterprise Server 2016	KB 下载

安装后需运行 SharePoint 产品配置向导完成升级。建议在业务低峰期操作，并提前备份 SharePoint 数据库和 IIS 配置。

如果短期内无法立即安装补丁（例如需要走内部变更审批），可以先启用 WAF 防护作为临时缓解手段。

百度云防护（已备案站点可用）的 Web 基础防护规则中已包含针对 SharePoint 类攻击的通用检测引擎，能够拦截未授权访问 /_layouts/、/_vti_bin/ 等 SharePoint 敏感路径的异常请求，并对 RCE 载荷中的特征进行匹配阻断。

操作步骤：

登百度云防护控制台，找到 SharePoint 站点对应的域名；
进入 Web 基础防护 → 将策略集切换为 「高级（严格）」；
确保处置动作为「拦截」，而不是「观察」；
在自定义规则中新建一条：URI 匹配 /_layouts/*、/_vti_bin/*、/_api/*，动作为「拦截」，非企业内网 IP 全部拒绝。

这样做的效果是：即使攻击者掌握漏洞利用方法，恶意请求也会在 WAF 边缘被拦截，无法触达 SharePoint 服务器。但请注意WAF 只是争取补丁时间的创可贴，不能替代微软官方补丁。补丁安装完成后建议恢复为「中级」策略以减少误伤。

建议所有运行 SharePoint 的企业安全管理员立即检查以下迹象：

如果发现异常，应立即隔离该服务器，重置所有关联凭据，并通知网络安全应急团队。

CVE-2026-58644 是 2026 年下半年首个在野利用的 SharePoint RCE 漏洞，从 CNVD 收录到微软确认已经被攻击的时间窗口极短。对于企业而言，”收到公告 → 内部评估 → 变更窗口 → 安装补丁”这条链条里的任何一环慢了，都是在给攻击者留门。

建议动作：本日完成补丁评估，本周内完成所有 SharePoint 实例的更新。已备案站点同步开启百度云防护的 Web 基础防护（拦截模式）作为最后一层防线。

主机吧 | 百度云防护官方合作伙伴

提供 WAF 接入、高防 CDN、高防 IP、高防服务器、SSL 证书一站式服务

漏洞可以等补丁，但攻击不会。