吳明宜上個月 Microsoft 修補 206 項漏洞，創下單月修補數量新高。然而，隨著 AI 協助研究人員發掘漏洞，這項紀錄很快便被刷新。 Microsoft 於 7 月發布例行安全性更新 (Patch Tuesday)，共修補 622 項漏洞，數量較上個月增加逾兩倍。
除了作業系統與相關產品的漏洞外，本月例行安全性更新也一併修補 428 項影響 Microsoft Edge 所採用 Chromium 核心的漏洞。在此次修補的 622 項漏洞中，共有 58 項被列為「重大」等級，其中包括兩項已遭利用的零時差漏洞，以及一項已公開揭露的漏洞。
兩項零時差漏洞已遭利用
第一項零時差漏洞為 CVE-2026-56155，屬於 Active Directory Federation Services (AD FS) 權限提高漏洞。 Microsoft 指出，漏洞源於 AD FS 的存取控制細微性不足，經授權的攻擊者可在本機利用漏洞提高權限，進而取得系統管理員權限，CVSS 基本分數為 7.8 。
第二項零時差漏洞為 CVE-2026-56164，影響 Microsoft SharePoint Server 。 Microsoft 指出，漏洞源於重要功能缺少驗證機制，使未經授權的攻擊者可透過網路提高權限，CVSS 基本分數為 5.3 。
BitLocker 漏洞可略過安全性功能
此次已公開揭露的漏洞為 CVE-2026-50661，屬於 Windows BitLocker 安全性功能略過漏洞。若未經授權的攻擊者能實際接觸受害裝置，便可能略過 BitLocker 的安全性功能，進而存取加密磁碟中的資料。 Microsoft 目前尚未發現該漏洞遭到實際利用。
Copilot 與 Exchange 修補重大漏洞
其他重大漏洞方面，Microsoft Copilot 修補一項 CVSS 基本分數為 9.6 的遠端程式碼執行 (Remote Code Execution, RCE) 漏洞 CVE-2026-48561 。漏洞源於命令中使用的特殊元素未妥善中和，也就是命令插入弱點，使未經授權的遠端攻擊者可能在使用者互動後執行程式碼。
Microsoft Exchange Server 則修補 CVSS 基本分數為 9.6 的 CVE-2026-55008 。雖然 Microsoft 將其歸類為詐騙漏洞，但漏洞本質為儲存型跨網站指令碼 (Cross-Site Scripting, XSS) 弱點。攻擊者可傳送特製電子郵件，當使用者透過 Outlook Web Access 開啟郵件時，便可能在瀏覽器工作階段中執行任意 JavaScript 程式碼。
Office 與 Adobe 同步發布安全性更新
Microsoft 也修補 Office 及相關應用程式中的 16 項遠端程式碼執行漏洞，涵蓋堆積緩衝區溢位 (Heap-based Buffer Overflow) 與釋放後使用 (Use After Free) 等類型，CVSS 基本分數均為 7.8 。
另一方面，Adobe 發布安全性更新，共修補 64 項漏洞，涵蓋 Commerce 、 Experience Manager 、 Creative Cloud Desktop 、 Illustrator 、 Content Credentials SDK 、 ColdFusion 與 Animate 等產品。其中，ColdFusion 的 CVE-2026-48318 漏洞 CVSS 基本分數達 9.9，可能導致任意程式碼執行。
來源: The Register