Microsoft 7 月修補兩個正俾黑客利用嘅漏洞，家用 Windows 要即刻更新？

Microsoft 今個月個 Patch Tuesday 大得幾誇張。iThome 報道嘅「超過 1,000 個」冇計錯，不過個數係 622 個 Microsoft CVE，加 428 個重新發布嘅非 Microsoft Chromium CVE。官方分類入面，Windows 佔 416 個、Office 82 個、Edge 46 個；呢批數字唔應該當成 1,050 個同等緊急、同一日新發現嘅 Windows 漏洞。

家用 Windows 11：有空檔就即日裝

用緊受支援 Windows 11，今日有空檔就開「設定」>「Windows Update」>「檢查更新」，裝完盡快重新啟動。兩個俾黑客用緊嘅漏洞，一個落喺 AD FS，一個落喺自設 SharePoint Server，普通家用機通常冇呢兩類企業 server 服務，所以唔使以為自己部 laptop 正直接食緊同一輪攻擊。至於已經公開嘅 CVE-2026-50661 BitLocker 漏洞，Microsoft 話攻擊者要實體接觸部機，暫時亦冇發現有人利用。不過今次仲有大量 Windows 修補，無謂拖幾星期先裝。

如果仲用 Windows 10，就要查清楚支援狀態。一般免費支援已經喺 2025 年 10 月 14 日完結；冇參加 ESU，又唔係仍受支援嘅 LTSC 版本，撳「檢查更新」都唔代表會收到 2026 年 7 月完整安全修補。呢類電腦要安排轉去受支援版本，單靠間中開一次 Windows Update 補唔返個缺口。

企業 IT：SharePoint 排最前

CVE-2026-56164 影響 SharePoint Enterprise Server 2016、SharePoint Server 2019 同 Subscription Edition。黑客唔使登入，由 Internet 遙距出手就有機會提升權限；Microsoft 評分只係 Moderate、CVSS 5.3，但已確認有人利用。CVE-2026-56155 就影響 AD FS，攻擊者要先有本機低權限帳戶，成功後可以攞到管理員權限，評為 Important、CVSS 7.8，同樣已有攻擊。

CISA 喺 7 月 14 日將兩個漏洞加入 Known Exploited Vulnerabilities 清單，畀美國聯邦機構嘅修補期限分別係 7 月 17 日同 7 月 28 日。死線只約束當地聯邦機構，其他公司可以當佢係排序參考：SharePoint 嗰個 CVSS 低過 AD FS，期限卻短好多，因為已有攻擊、可以遙距出手；server 有冇對外，實際上亦關鍵過個總分。

裝完 patch 仲要查有冇俾人入過

黑客如果早一步入咗 server，裝更新唔會自動清走惡意檔案、可疑帳戶或者已經外洩嘅登入資料。管理自設 SharePoint 同 AD FS 嘅團隊要一邊裝官方更新，一邊保留同檢查登入、管理員活動同系統記錄，追查異常連線、突然新增嘅帳戶同權限變動。只用 Microsoft 365 SharePoint Online 嘅公司，一般由 Microsoft 喺雲端處理服務更新，唔使將自設 server 嘅 KB 當成員工電腦更新去做。

AI 搵漏洞快咗，補丁清單自然變長

Microsoft 早前解釋，漏洞報告量幾年來一直升，背後包括自動化工具成熟、研究員參與多咗，同 AI 可以快手掃更多 code path。公司亦用多模型掃描框架同 agentic workflow 協助發現、驗證同排序，不過修補門檻冇改，人手審核亦仲喺度。622 呢個數有好大部分反映搵漏洞速度快咗，單靠總數推斷 Windows 突然危險幾倍，唔可靠。

對 IT 團隊嚟講，每月清單會愈來愈長，patch 一公開，攻擊者亦可以快手拆解改動。今次較實際嘅排法係先處理 CISA 已列入清單、Microsoft 確認有人利用、又對外開放嘅系統；跟住用小批裝置測試 Windows、Office 同 Edge 累積更新，確認核心工作軟件冇問題就推到全公司。家用 Windows 11 就簡單得多，畀自動更新完成，再確認部機重啟過就得。

參考來源

• iThome — 微軟發布7月例行更新，修補超過1千個資安漏洞 — original report
• Microsoft Security Update Guide — July 2026 — 核對 622 個 Microsoft CVE、428 個 Chromium CVE 同各產品分類
• Microsoft CVE-2026-56164 — 確認 SharePoint Server 受影響版本、攻擊條件同已有攻擊紀錄
• Microsoft CVE-2026-56155 — 確認 AD FS 漏洞影響、CVSS 評分同已有攻擊紀錄
• Microsoft CVE-2026-50661 — 分清 BitLocker 漏洞只係公開披露，暫時冇確認俾人利用
• CISA Known Exploited Vulnerabilities Catalog — 核對兩個漏洞加入清單嘅日期同美國聯邦機構修補期限
• Microsoft MSRC：A note on this month's Patch Tuesday — Microsoft 對 AI、自動化工具同每月修補數量上升嘅官方解釋
• Microsoft Support：Install Windows Updates — 核對 Windows 11 手動檢查更新方法，同 Windows 10 支援狀態

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。