新聞

一週前Anthropic發布通用語言模型Claude Mythos預覽版本，聲稱該模型已在常見的作業系統、瀏覽器、開源軟體找出數千個零時差漏洞，並設立Project Glasswing專案號召科技、金融公司、關鍵基礎設施加入，使得4月份的各大IT廠商的安全性例行更新格外受到關注，因為外界預期，廠商將會公布大量的資安漏洞，果不其然，單就今天微軟發布的公告而言，就涵蓋超過200個漏洞。

首先，4月微軟例行更新（Patch Tuesday）總共公開165個該公司登記CVE編號的漏洞，數量較上個月多出一倍，再加上他們修補的第三方元件漏洞，總數將達到247個。

另一個不尋常之處在於，在165個漏洞當中，有兩個被列為零時差漏洞，分別是已遭利用的SharePoint伺服器欺騙弱點CVE-2026-32201，以及已被公開的Microsoft Defender權限提升漏洞CVE-2026-33825。

針對CVE-2026-32201，微軟僅提及攻擊者一旦成功利用漏洞，就能檢視部分敏感資訊，並對揭露資訊進行變更，導致機密性與完整性受到影響，CVSS風險評分為6.5，該公司將其危險程度評為重要（Important）等級，不過，他們強調，由於利用漏洞無法限制對於特定資源的存取，可用性不受影響。長期分析微軟例行更新的資安公司Rapid7認為，駭客有可能將CVE-2026-32201與其他漏洞串連，形成攻擊鏈加以利用。

另一個零時差漏洞CVE-2026-33825，攻擊者若是成功利用，就能得到SYSTEM權限，CVSS風險評為7.8分，危險程度同為重要等級。不過，微軟強調若是用戶停用Microsoft Defender，攻擊者將無法利用這個漏洞。上述的說明，讓人不禁聯想到之前被公布的零時差漏洞BlueHammer，原因是後來有資安公司指出該漏洞與Microsoft Defender的更新流程有關。儘管微軟指出此漏洞由兩位研究人員通報，分別是Zen Dodd與Yuanpei XU（HUST），但不過漏洞懸賞專案Zero Day Initiative（ZDI）指出，CVE-2026-33825顯然就是BlueHammer。