Windows Shell MotW 绕过漏洞正被利用：10月更新修复清单与核查要点

微软在 10 月累积安全更新中修复了追踪编号为 CVE-2026-96951 的 Windows shell 安全功能绕过漏洞。美国网络安全与基础设施安全局（CISA）已确认该漏洞受到在野利用，并将其正式纳入已知被利用漏洞目录（KEV），要求组织加快修复排查。

漏洞影响机制与在野威胁

Mark of the Web（MotW）是 Windows 用来标记从互联网下载或不可信来源获取文件的关键防线。该机制通过 NTFS 交换数据流（Zone.Identifier）在文件上注入安全标记，以触发 SmartScreen 拦截、Office 受保护视图及各类解压警示。

CVE-2026-96951 涉及 Windows shell 处理命令与特定元素时的校验缺陷（关联 CWE-77）。攻击者可构造特殊文件，通过电子邮件或即时通讯工具发送给受害者；当目标用户打开或调用该文件时，安全标记无法正常传递或生效，从而直接绕过 MotW 拦截体系，在缺乏典型安全告警的情况下执行后续风险逻辑。

10月安全更新概况与排查要点

本次 10 月累积更新覆盖了受支持的 Windows 桌面与服务器系统，修正了 Windows Shell 在解析命令参数时的过滤缺陷。安全团队与运维人员应依据以下关键环节核查补丁应用情况：

1. 补丁状态核查

在受影响的 Windows 终端或服务器上打开 PowerShell，运行以下命令确认 2026 年 10 月累积更新（KB）是否已成功安装：

   Get-HotFix | Where-Object { $_.InstalledOn -ge (Get-Date '2026-10-13') }

亦可通过系统内置的 systeminfo 工具或企业补丁管理平台（如 WSUS、MECM）核对 10 月累积补丁的就绪状态。

1. 边界网关检测

安全团队需在邮件网关与内容检查系统上监控异常外发或入站的嵌套压缩包，重点检查内部封装的畸形快捷方式或脚本文件。

处置优先级与临时缓解措施

由于 CVE-2026-96951 已存在在野攻击样本，修复建议按以下优先级推进：

• 第一优先级（高风险暴露面）：优先排查处理外网接入、频繁接收外部邮件或传输文件的桌面办公终端，以及对外提供远程桌面服务的跳板机与管理节点。
• 第二优先级（核心与隔离节点）：完成核心业务服务器的补丁评估，在窗口期内完成累积更新重启。

对于因业务连续性要求短期内无法安装累积更新的系统，运维团队可采取以下防护措施降低暴露风险：

• 强化邮件与网络过滤：在网关层针对高风险后缀（如包含命令引用的脚本或畸形容器格式）实施严格的拦截与解包检测。
• 终端策略管控：通过组策略限制未经签名的可执行文件直接启动，加强 Windows Defender SmartScreen 的全域强制检查策略，阻断不可信文件的直接派生进程。