CVE-2026-96951：被积极利用的 Windows Shell 零日漏洞绕过了网络标记

微软已修补CVE-2026-96951，这是一个严重的Windows Shell安全功能绕过漏洞，已经在实际攻击中被利用。该漏洞的CVSS评分为8.8，允许未经身份验证的攻击者通过诱导受害者与特殊构造的文件交互来规避Web标记(MOTW)保护措施。

这个零日漏洞是微软2026年10月补丁星期二的一部分，覆盖了Windows、Office、SharePoint Server、SQL Server、开发工具及其他微软产品的1400多个漏洞，异常庞大的安全发布。CVE-2026-96951引人注目，因为微软已经证实存在野外的积极利用。

Web标记是一个基本的Windows安全机制，用于标记来自潜在不可信来源（如互联网或电子邮件）的文件。Windows和应用程序可以使用此信息来显示安全警告、激活受保护视图或在执行潜在危险内容之前应用额外限制。

能够绕过这种保护的漏洞因此可能削弱通常依赖于减少钓鱼和恶意文件传送的多重防御层。

安全团队可以利用SOC Prime的AI原生检测情报平台加强对新兴利用的防御，这个平台使组织能够操作化威胁情报，并在其安全堆栈中应用相关检测内容。

Prime Architect可以通过帮助防御者研究新兴威胁、生成和完善检测逻辑、将指示器转化为狩猎查询，并将检测适应于组织的遥测来进一步加速检测工程。

联系销售

CVE-2026-96951分析

CVE-2026-96951影响Windows Shell，源于不正确的命令使用特殊元素的中和分类为CWE-77命令注入。微软描述此漏洞为允许未经授权的攻击者通过网络绕过安全功能。

微软为该漏洞分配了CVSS 3.1评分8.8，矢量为AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H。这意味着利用可以远程发起，攻击复杂性低且不需要先行特权，但依赖用户交互。成功利用可能对机密性、完整性和可用性造成高度影响。

受到风险的安全控制是Web标记。当Windows从互联网或其他不可信来源接收到一个文件时，MOTW元数据通常会标记该文件来自受信环境之外。Windows 安全功能和应用程序然后可以在打开或执行前应用额外保护。

根据微软，成功利用允许攻击者规避这些MOTW防御。在电子邮件或即时消息情景中，攻击者可以发送一个特制的恶意文件并说服目标打开它。或者，威胁行为者可能引诱受害者访问攻击者控制的网站，并说服其下载和查看恶意内容。

攻击者不能强迫受害者自动打开恶意内容。用户交互仍然是必要的，这使得钓鱼、社交工程、恶意附件和欺骗性链接可能成为传递路径。

CVE记录识别了一个广泛影响的Windows环境范围，包括Windows 10、多版Windows 11，以及从Server 2012 R2到Server 2025的Windows Server版本。微软的记录还列出了Outlook.com在修复前的受影响状态。

该漏洞对企业环境尤其具有重要性，因为绕过MOTW可能破坏旨在阻止通过钓鱼活动交付文件的安全层。一旦恶意文件避开预期的警告或限制，附加有效载荷的执行可能变得更容易，这取决于内容和后续攻击链。

微软确认攻击者在补丁公开可用前已经利用该漏洞，使之成为零日漏洞。然而，公司未披露谁应对此负责，哪些组织被针对，以及观察到的事件中使用的确切利用链。

微软感谢Fujitsu的Riku Bamba和Yuya Chudo，使用Claude与Anthropic的Benoit Sevens，以及安全研究员yhw举报这一漏洞。确切的发现日期尚未公开。

在撰写时，审查的主要来源未记录CVE-2026-96951公开可用的PoC。尽管如此，确认的利用即使没有公开的利用代码也显著提高了补丁的紧迫性。

对于CVE-2026-96951检测，防御者应监控来自电子邮件、消息平台、浏览器和用户下载目录的可疑文件，特别是当后续活动指示可能未应用正常的MOTW保护时。

潜在的行为信号可以包括Windows Explorer或文档处理应用程序产生的意外子进程，从下载的内容启动的脚本解释器，来自临时或用户写入目录的异常执行，以及与预期文件类型不一致的交付后活动。

CVE-2026-96951缓解措施

微软通过其2026年10月13日的安全更新解决了该漏洞。组织应该优先部署到支持的Windows终端和服务器上，特别是暴露于电子邮件附件、即时消息、网页下载和其他常见钓鱼交付向量的系统。

CVE记录列出了受影响平台的修补构建阈值。示例包括Windows 11 23H2构建22631.7652，Windows 11 24H2构建26100.9711，Windows 11 25H2构建26200.9711，以及Windows Server 2025构建26100.33650。管理员应依靠微软的安全更新指南和Windows更新机制来确定每个支持的操作系统的适当更新。

由于已确认存在积极利用，CISA在2026年10月13日将CVE-2026-96951添加到其已知利用漏洞目录中，并对适用的美国联邦民用机构设定了2026年10月16日的补救期限。CISA将其利用描述为积极的，潜在技术影响为全面的。

组织不应将用户意识或MOTW本身视为对未修补系统的足够补偿控制，因为漏洞专门破坏了该安全边界。额外的保护措施，如应用程序控制、攻击面减少政策、电子邮件附件过滤、终端保护以及从用户可写位置执行或脚本内容的限制可以提供多层防御。

为了检测CVE-2026-96951的利用，防御者应将可疑文件交付事件与后续的进程活动相关联，并确定从外部来源获取的内容是否在未应用预期的MOTW相关控制的情况下执行。电子邮件网关、浏览器、Windows进程创建、PowerShell、脚本解释器和终端遥测可以提供有用的背景。

安全团队还应该回顾性调查在补丁部署之前观察到的潜在可疑附件或下载。由于微软尚未公开披露攻击特定的CVE-2026-96951 IOC，如文件哈希、域名或与观察到的利用相关的IP地址，行为检测和攻击链关联目前比静态指标匹配更可靠。

组织识别出可疑活动后，应隔离受影响的终端，调查有效载荷执行和持久性，检查从受损用户上下文中可访问的凭据，并确定攻击者在绕过MOTW后是否建立了额外访问。

SOC Prime的AI原生检测情报平台使安全团队能够加速对新兴漏洞的威胁狩猎和检测工程，同时将相关的检测逻辑适应其SIEM、EDR、XDR和数据湖环境。