Microsoft 7 月補三個零時差漏洞：一般 Windows 用戶同企業 IT 邊個要即刻更新

Microsoft 7 月安全更新一次過處理三個零時差漏洞，聽落似所有 Windows 機都着晒火，但風險要分開睇。MSRC 資料顯示，CVE-2026-56155 同 CVE-2026-56164 已有人用嚟攻擊；CVE-2026-50661 就喺修補前公開，暫時未見遭利用。前兩個主要落喺企業 server，家用電腦直接面對嘅係 BitLocker 嗰個，而且攻擊者要掂到部機先做到。

AD FS 漏洞：入咗門之後再升做管理員

CVE-2026-56155 影響 Active Directory Federation Services（AD FS），CVSS 係 7.8，Microsoft 評為 Important。攻擊者要先有低權限身份，仲要可以喺本機落手，成功後就可攞到 administrator 權限。呢種漏洞多數放喺攻擊鏈中段：入侵者先攻陷帳戶或者 server，再用漏洞擴大控制範圍。有用 AD FS 做身份聯合登入同單一登入嘅機構要優先處理；淨係用 Active Directory Domain Services，冇部署 AD FS，唔好見到「AD」兩個字就當成同一套服務。

SharePoint Server：分數唔高，實際排序要擺前

CVE-2026-56164 影響 SharePoint Server，攻擊者唔使登入，可經 Internet 遠端利用，而且攻擊複雜度低。Microsoft 畀 5.3 分同 Moderate 評級，NVD 就畀 9.8 分，兩邊對機密性、完整性同可用性影響嘅判斷唔同。分數有落差，但漏洞已遭利用，CISA 亦已放入 KEV 清單；美國聯邦機構修補限期係 7 月 17 日。有對外開放嘅 SharePoint Server 應該排喺最前，唔好等評分爭議有結論先郁手。

Microsoft 官方受影響清單列出 SharePoint Server Subscription Edition、2019 同 Enterprise Server 2016，反映今次焦點係自行管理嘅 SharePoint Server。Microsoft 365 入面嘅 SharePoint Online 冇列喺呢個 CVE 嘅受影響產品。未能即刻裝更新嘅管理員，可先啟用 SharePoint 同 IIS 嘅 AMSI 整合，再將 Request Body Scan 設成 Full；呢個做法只係減低暴露風險，更新仍然要盡快裝。

BitLocker：一般 Windows 用戶最相關，但唔係遠端入侵

CVE-2026-50661 可繞過系統碟嘅 BitLocker 裝置加密，成功後有機會讀到原本加密嘅資料。官方受影響清單包括 Windows 10 21H2／22H2、Windows 11 24H2／25H2／26H1 同多個 Windows Server 版本，CVSS 係 6.1。呢個漏洞修補前已有公開資料，但 Microsoft 暫時標示未遭利用，而且攻擊者要實際接觸目標電腦。經常帶 notebook 出街、會寄運裝置，或者部機一旦遺失就有敏感資料嗰啲情況，風險自然高過長期鎖喺固定地方嘅電腦。

1,050、622 定 570？三個數唔好撈亂

iThome 報道嘅 1,050 個漏洞，係將 622 個 Microsoft 產品 CVE 同其統計嘅 Chromium 弱點合埋。Microsoft 7 月 release notes 寫明今次 release 有 622 個 Microsoft CVE；BleepingComputer 報道嘅 570，就只計 7 月 14 日當日由 Microsoft 新修補嘅項目，排除當月較早修補嘅服務同 Chromium。統計口徑變咗，總數自然唔同。對管理員嚟講，原始數字幾震撼都好，已遭利用、能否遠端攻擊、server 有冇對外開放，先係實際排修補次序嘅依據。

邊個要點做

一般 Windows 用戶可以直接去「設定 ＞ Windows Update」檢查更新，裝好 7 月累積安全更新再重新開機；公司管理嘅 notebook 就跟返 IT 部署安排。企業 IT要先盤點 AD FS role 同自行管理嘅 SharePoint Server，對外 SharePoint 排第一，AD FS server 跟住處理，再確認各部機裝妥更新。兩個企業漏洞已經有人用過，裝 patch 只會堵住之後嘅攻擊，所以仲要翻查相關 server 嘅登入、管理員權限變動同保安警報，睇吓修補前有冇可疑活動。

參考來源

• iThome — 微軟7月例行更新揭露3個零時差漏洞 — original report
• Microsoft July 2026 Security Updates — Microsoft 官方 7 月 release notes，同 622 個 Microsoft CVE 嘅口徑
• Microsoft MSRC：CVE-2026-56155 — AD FS 漏洞評級、攻擊條件、利用狀態同受影響產品
• Microsoft MSRC：CVE-2026-56164 — SharePoint Server 漏洞詳情、受影響版本同 AMSI 緩解方法
• Microsoft MSRC：CVE-2026-50661 — BitLocker 漏洞利用狀態、實體接觸條件同受影響 Windows 版本
• CISA Known Exploited Vulnerabilities Catalog — 確認兩個企業漏洞已列入 KEV，同美國聯邦機構嘅處理限期
• NVD：CVE-2026-56164 — 核對 NVD 9.8 分同 Microsoft 5.3 分嘅評級落差
• BleepingComputer：Microsoft July 2026 Patch Tuesday — 570 個漏洞統計口徑、三個零時差漏洞同 Chromium 排除方式

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。