CVE-2026-21514
— 神龙十问 AI 深度分析摘要
CVSS 7.8 · High
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Microsoft Word 存在**安全功能绕过**漏洞。
🔥 **后果**：攻击者可利用此缺陷，**绕过**软件内置的安全保护机制，导致系统面临高风险。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE ID**：CWE-807（安全功能绕过）。
🛠️ **缺陷点**：软件在处理特定逻辑时，未能正确验证或执行安全策略，导致防御机制失效。
Q3影响谁？（版本/组件）
📦 **受影响产品**：
• Microsoft 365 Apps for Enterprise (32/64位)
• Microsoft Office LTSC for Mac 2021
• 其他 Microsoft Office 组件（数据截断，需参考官方列表）
Q4黑客能干啥？（权限/数据）
💻 **黑客能力**：
• **权限**：获得与当前用户相同的权限。
• **数据**：可读取、修改或破坏数据（CVSS中C/I/A均为High）。
• **控制**：可能执行恶意代码或篡改文档。
Q5利用门槛高吗？（认证/配置）
🚧 **利用门槛**：
• **本地访问 (AV:L)**：需物理或网络接触目标。
• **低复杂度 (AC:L)**：攻击容易实施。
• **无需认证 (PR:N)**：无需登录即可尝试。
• **需用户交互 (UI:R)**：**关键！** 用户需打开恶意文件或执行特定操作。
Q6有现成Exp吗？（PoC/在野利用）
📭 **现成Exp**：
• **PoC**：数据中未提供公开概念验证代码。
• **在野利用**：暂无公开报告表明已被广泛利用。
• **状态**：目前处于“理论可用”或“低概率利用”阶段。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 Office 版本是否为 **Microsoft 365 Apps** 或 **LTSC 2021**。
2. 确认是否已安装最新安全更新。
3. 监控 Word 进程是否有异常行为或权限提升尝试。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：
• **状态**：Microsoft 已发布安全公告。
• **链接**：msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21514
• **建议**：立即通过 Windows Update 或 Office 更新渠道安装补丁。
Q9没补丁咋办？（临时规避）
⚠️ **无补丁规避**：
1. **禁用宏**：关闭所有不可信文档的宏功能。
2. **启用 Protected View**：强制 Word 在受保护视图中打开来源不明的文件。
3. **限制来源**：仅打开来自可信发件人的文档。
Q10急不急？（优先级建议）
🚨 **优先级**：**高**。
• **CVSS评分**：虽需用户交互，但**影响范围极大**（C/I/A均为High）。
• **建议**：尽快打补丁，尤其是面向企业用户和远程办公场景。不要忽视“用户交互”要求，社会工程学仍是主要入口。