企业如何核查补丁与缓解风险

微软在 10 月累积安全更新中修复了一个编号为 CVE-2026-96951 的 Windows shell 安全功能绕过漏洞，美国 CISA 已确认它正在被在野利用，并把它纳入了已知被利用漏洞目录。这个漏洞说白了，问题出在 Windows 用来标记"文件来自互联网"的那道防线上，也就是大家常说的 MotW（Mark of the Web）机制。

咱们可以把 MotW 理解成快递包裹上的"易碎品"贴纸。文件从网上下载下来，Windows 会给它贴个标签，系统看到标签就知道这东西不可信，打开时会弹警告、进受保护视图，或者提醒你小心。但这次漏洞的麻烦在于，攻击者能构造特殊文件，让这个标签在传递过程中"掉了"。文件看起来普普通通，打开时也不触发安全告警，但背后的风险逻辑已经悄悄执行了。攻击者一般通过邮件或即时通讯工具把这种文件发给目标，只要有人打开，防线就等于被绕过去了。

对企业来说，真正的考验不是"知道有这个漏洞"，而是怎么在有限窗口期内把该补的补上、该排的排除掉。核查工作建议按两条线走：一条是确认补丁是否真的装上了，另一条是看看边界网关有没有异常动静。

补丁核查这件事，别只信"好像更新过"。运维人员可以在受影响的 Windows 终端或服务器上打开 PowerShell，用 Get-HotFix 命令筛选 2026 年 10 月 13 日之后安装的更新，确认累积补丁是否就位；也可以用 systeminfo，或者通过 WSUS、MECM 这类企业补丁管理平台统一核对。比命令更重要的，是把核查结果落到台账上，明确哪些机器已修复、哪些还没处理，不然排查容易漏。

网关侧也别闲着。安全团队需要在邮件网关和内容检查系统上盯一下异常外发或入站的嵌套压缩包，尤其留意里面封装的畸形快捷方式或脚本文件。这类东西平时不多见，一旦出现往往就是试探信号。

处置优先级上，建议先照顾暴露面大的机器。外网接入、频繁收外部邮件或传文件的办公终端，还有对外提供远程桌面服务的跳板机和管理节点，这些属于高风险位置，要优先排查修复。核心业务服务器可以排到第二梯队，在窗口期内完成累积更新并重启。

如果有些系统因为业务连续性要求，短期内实在没法打补丁，那就得靠临时缓解措施兜底。网关层可以对高风险后缀的脚本或畸形容器格式做严格拦截和解包检测；终端上通过组策略限制未经签名的可执行文件直接启动，同时加强 Windows Defender SmartScreen 的全域强制检查，阻断不可信文件直接派生进程。

说白了，这类已被证实存在在野攻击的漏洞，拼的就是响应速度。补丁能打就打，打不了就把过滤和拦截做严实，总比裸奔等出事强。安全团队把核查清单列清楚，按优先级推进，至少能把暴露窗口压到最小。