情資內容

一、 漏洞說明[1][2][3] 微軟於2026年2月例行性安全更新（Patch Tuesday）中修補多項Windows與Microsoft Office安全漏洞。以下彙整其中已被利用且屬高風險等級的漏洞資訊，說明如下： 1. CVE-2026-21510：Windows Shell安全功能繞過漏洞 此漏洞源於Windows Shell元件的不當處理機制，使攻擊者得以於使用者開啟惡意連結或捷徑檔案時，繞過Windows SmartScreen與Windows Shell的安全提示，並使攻擊者控制的內容在未經使用者警告或確認的情況下得以執行。 2. CVE-2026-21513：MSHTML Framework安全功能繞過漏洞 此漏洞源於MSHTML Framework保護機制失效，使未經授權的攻擊者得以透過網路繞過安全功能。 3. CVE-2026-21514：Microsoft Word安全功能繞過漏洞 此漏洞源於Microsoft Word未妥善實施OLE緩解機制，使攻擊者得以透過傳送惡意Office文件並誘使使用者開啟，繞過用於防護易受攻擊COM/OLE控制項的安全機制。 4. CVE-2026-21519：Windows桌面視窗管理員權限提升漏洞 此漏洞源於Windows桌面視窗管理員（Desktop Window Manager）中的類型混淆（Type Confusion）機制錯誤，使已通過身分驗證的攻擊者得以於本地提升權限，並取得SYSTEM權限。 5. CVE-2026-21533：Windows遠端桌面服務權限提升漏洞 此漏洞源於Windows遠端桌面服務（Remote Desktop Services）中的不當權限管理，使已通過身分驗證的攻擊者得以於本地提升權限。攻擊者可透過漏洞利用程式修改服務組態金鑰，並以攻擊者控制的金鑰取代，進而取得系統層級權限，並將使用者新增至系統管理員群組。 二、已揭露攻擊活動說明 1. CISA已將CVE-2026-21510、CVE-2026-21513、CVE-2026-21514、CVE-2026-21519、CVE-2026-21533納入漏洞利用清單。[4]