微软修复 Windows Shell 零日漏洞 CVE-2026-96951，已被在野利用

微软已修复编号为 CVE-2026-96951 的 Windows Shell 安全功能绕过漏洞，该漏洞 CVSS 评分为 8.8，且已被证实在真实攻击中遭到利用。漏洞随微软 2026 年十月补丁日发布，这一批更新规模异常庞大，覆盖 Windows、Office、SharePoint Server、SQL Server、开发者工具等产品线，修复漏洞超过 1400 个。

该漏洞允许未认证攻击者通过诱导受害者与特制文件交互，绕过 Mark of the Web（MOTW）保护机制。微软已确认漏洞在补丁公开前即被利用，但未披露攻击责任方、受影响机构或具体利用链。受影响范围包括 Windows 10、多个 Windows 11 版本，以及从 Server 2012 R2 到 Server 2025 的 Windows Server 版本。

漏洞基本情况

CVE-2026-96951 影响 Windows Shell，其成因是命令中使用的特殊元素未被正确中和，被归类为 CWE-77 命令注入。微软将该漏洞描述为允许未授权攻击者通过网络绕过某项安全功能，并给出 CVSS 3.1 评分 8.8，向量为 AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H。这意味着攻击可远程发起，攻击复杂度低、无需事先获得权限，但依赖用户交互；一旦利用成功，对机密性、完整性和可用性都可能造成高影响。

在如此体量的月度更新中，CVE-2026-96951 因微软已确认其在野遭到利用而格外突出。

MOTW 为何关键

处于风险中的安全控制是 Mark of the Web（MOTW）。当 Windows 从互联网或其他不可信来源接收文件时，MOTW 元数据通常会标记该文件来自受信任环境之外，Windows 安全功能和应用程序随后可在打开或执行前施加额外保护。

按照微软的说法，成功利用该漏洞可使攻击者规避这些 MOTW 防护。MOTW 是 Windows 的一项基础安全机制，用于标记来自互联网、电子邮件等潜在不可信位置的文件，Windows 和应用程序可据此显示安全警告、启用受保护视图，或在可能危险的内容执行前施加额外限制。因此，一个能够绕过该保护的漏洞会削弱常用于缓解钓鱼和恶意文件投递的多层防御。

攻击路径与影响范围

在电子邮件或即时通讯场景中，攻击者可发送特制的恶意文件并说服目标打开；另一种方式是诱导受害者访问攻击者控制的网站，说服其下载并查看恶意内容。攻击者无法强制受害者自动打开恶意内容，用户交互仍是必要条件，这使得钓鱼、社会工程、恶意附件和欺骗性链接成为可能的投递路径。

微软的记录还列出 Outlook.com 在相应服务端修复前受到影响。该漏洞对企业环境尤其重要，因为绕过 MOTW 可能破坏原本用于拦截钓鱼活动所投递文件的安全层；一旦恶意文件避开预期的警告或限制，后续载荷的执行可能变得更加容易，具体取决于文件内容和后续攻击链。

修复与披露信息

微软确认，攻击者在补丁公开可用之前就已利用该漏洞，因此它属于零日漏洞。但该公司未披露攻击责任方、被针对的机构，也未说明在已观察事件中使用的确切利用链。漏洞的准确原始发现日期同样未公开。

微软将漏洞报告归功于富士通的 Riku Bamba 和 Yuya Chudo、使用 Claude 与 Anthropic 的 Benoit Sevens，以及安全研究员 yhw。截至相关报道撰写时，所查阅的主要来源未记录到公开可用的 CVE-2026-96951 概念验证代码；不过，已确认的在野利用显著提高了修补的紧迫性，即便没有公开的利用代码也是如此。

在检测方面，防御者应监控来自电子邮件、即时通讯平台、浏览器和用户下载目录的可疑文件，尤其是当后续活动显示正常的 MOTW 防护可能未被应用时。潜在的行为信号包括 Windows 资源管理器或文档处理应用生成异常子进程、从下载内容启动脚本解释器，以及从临时目录或用户可写目录异常执行等。

要点

• CVE-2026-96951 的 CVSS 评分为 8.8
• 漏洞属于 CWE-77 命令注入类别
• 攻击需用户交互，无需前置权限
• 受影响系统含 Windows 10、11 与多代 Server
• 微软确认漏洞在补丁发布前已被利用