新聞

微軟上周通知IT管理員，Windows桌機版及網頁版Outlook從11月將預設封鎖MSIX格式附件，以提供安全性。

根據微軟發送給Microsoft 365 IT管理員的MC1488841訊息通知，這次調整是Windows及網頁版Outlook的OwaMailboxPolicy預設封鎖檔案類型更新措施的一環，以確保Windows及Web版Outlook安全性。這次更新之一是在OWA Mail規則及M365租戶自訂政策的BlockedFileTypes清單中加入.msix、.msixbundle檔案類型。微軟認為這些類型很少用，應該大部份組織和企業不致受到影響。

MSIX格式是微軟推出的現代化Windows應用程式封裝格式，旨在取代舊有的.exe安裝檔與.msi安裝套件，不過.msix和.msixbundle並未受到企業和開發人員的歡迎，普及率很低。MSIX格式近年成為網路釣魚與惡意程式散播的新興管道。攻擊者常利用其系統信任度與特性偽用偽造數位簽章與自簽憑證攻擊。此外，傳統防毒軟體或第三方瀏覽器篩選器對.msix檔案檢測率也較低。曾有駭客濫用ms-appinstaller協議漏洞（如CVE-2021-43890漏洞）來繞過微軟的SmartScreen，傳送惡意網頁連結，使用者點擊後無需儲存檔案即可直接呼叫Windows App Installer自動下載並安裝惡意MSIX套件。

微軟預計於2026年11月將預設封鎖推向全球及提供美國政府與軍方（GCC、DoD等）的Outlook服務。新政策將影響.msix和.msixbundle附件郵件的收發，接收者將無法開啟或下載附件。

用戶端無需動作，新政策會主動生效。但如果企業有需要使用這類檔案格式，微軟建議管理員到OwaMailboxPolicy物件中的白名單（AllowedFileTypes）屬性中加入這二類格式。