word远程执行代码漏洞

2023年7月，远程微软发布了一个编号为CVE-2023-36884的执行补丁，修复了Office和Windows HTML远程代码执行漏洞。代码这玩意儿影响面极广，漏洞攻击者只需要诱导你打开一个精心构造的远程Word文档，就能在你电脑上执行任意代码——不是执行读取文件，不是代码弹广告，是漏洞直接接管你的系统。

漏洞出在MSHTML引擎上。远程Word在解析文档内嵌的执行HTML内容时，对某些特殊构造的代码OLE对象处理不当。攻击者把恶意代码藏在文档的漏洞批注、脚注或者页眉页脚里，远程一旦用户点击“启用编辑”或者“启用内容”，执行恶意代码就跟着文档内容一起被解析执行了。代码整个过程用户毫无感知，文档看起来和正常文件一模一样。

这种事不是第一次发生了。2017年，CVE-2017-0199利用的是Word内嵌OLE2link对象，用户打开文档，Word自动调用URL Moniker下载外部HTA文件，然后执行。当时很多安全公司都发布了紧急预警。2021年又有CVE-2021-40444，同样是通过MSHTML触发。你发现规律没有？Word的“文档内嵌外部对象”功能，这些年反复被攻击者薅羊毛。

微软的修复方式也很有意思。CVE-2023-36884的官方补丁，其实是在Office中默认禁用ActiveX控件和OLE对象的激活。换句话说，微软没有从根本上修复MSHTML的解析问题，而是直接砍掉了Word调用外部对象的通道。这种“治标不治本”的做法，微软自己心里也清楚，所以补丁说明里额外提醒用户：“建议不要打开来源不明的Office文档。”

这话说得轻巧。现实中，钓鱼攻击者根本不需要你主动打开不明文档——他们把恶意Word文件命名为“2024年度绩效考核方案.docx”，通过企业微信、钉钉、邮件群发出去。你同事转发给你的，你领导发到工作群里的，你根本分辨不出哪个是安全的。我见过一个真实的案例，某公司财务收到一份“税务局稽查通知.docx”，打开后电脑被勒索软件加密，整个财务部门的共享文件全部遭殃。

对付这种漏洞，光靠打补丁远远不够。补丁下发到企业终端往往需要几周时间，而攻击者利用漏洞的时间窗口通常在补丁发布后的48小时内。所以真正有效的防御手段是：在组策略里禁用Office的宏和ActiveX控件，配置Windows Defender攻击面减少规则，阻止Office进程创建子进程。还有一条老生常谈但极其有效的建议——用PDF格式替代Word来传输正式文件。PDF虽然也有漏洞，但攻击难度和利用频率远低于Word。

最后说点个人的观察。很多安全研究员抱怨微软的Office代码太老了，底层架构还是上世纪90年代的产物，安全加固难度极大。这话不无道理，但微软在2022年推出的Microsoft 365版本中，已经把Word的默认文档格式切换为基于Open XML的严格模式，这确实减少了一部分攻击面。可问题是，企业用户还在用Office 2016甚至2013的，不在少数。旧版本不维护，新版本不升级，这类漏洞就永远有生存空间。技术债，终究是要还的。