CVE-2026-21514 — 神龙十问 AI 深度分析摘要
CVSS 7.8 · High
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Microsoft Word 存在**安全功能绕过**漏洞。 🔥 **后果**：攻击者可利用此缺陷，**绕过**软件内置的安全保护机制，导致系统面临高风险。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE ID**：CWE-807（安全功能绕过）。 🛠️ **缺陷点**：软件在处理特定逻辑时，未能正确验证或执行安全策略，导致防御机制失效。
Q3影响谁？（版本/组件）
📦 **受影响产品**： • Microsoft 365 Apps for Enterprise (32/64位) • Microsoft Office LTSC for Mac 2021 • 其他 Microsoft Office 组件（数据截断，需参考官方列表）
Q4黑客能干啥？（权限/数据）
💻 **黑客能力**： • **权限**：获得与当前用户相同的权限。 • **数据**：可读取、修改或破坏数据（CVSS中C/I/A均为High）。 • **控制**：可能执行恶意代码或篡改文档。
Q5利用门槛高吗？（认证/配置）
🚧 **利用门槛**： • **本地访问 (AV:L)**：需物理或网络接触目标。 • **低复杂度 (AC:L)**：攻击容易实施。 • **无需认证 (PR:N)**：无需登录即可尝试。 • **需用户交互 (UI:R)**：**关键！** 用户需打开恶意文件或执行特定操作。
Q6有现成Exp吗？（PoC/在野利用）
📭 **现成Exp**： • **PoC**：数据中未提供公开概念验证代码。 • **在野利用**：暂无公开报告表明已被广泛利用。 • **状态**：目前处于“理论可用”或“低概率利用”阶段。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. 检查 Office 版本是否为 **Microsoft 365 Apps** 或 **LTSC 2021**。 2. 确认是否已安装最新安全更新。 3. 监控 Word 进程是否有异常行为或权限提升尝试。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**： • **状态**：Microsoft 已发布安全公告。 • **链接**：msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21514 • **建议**：立即通过 Windows Update 或 Office 更新渠道安装补丁。
Q9没补丁咋办？（临时规避）
⚠️ **无补丁规避**： 1. **禁用宏**：关闭所有不可信文档的宏功能。 2. **启用 Protected View**：强制 Word 在受保护视图中打开来源不明的文件。 3. **限制来源**：仅打开来自可信发件人的文档。
Q10急不急？（优先级建议）
🚨 **优先级**：**高**。 • **CVSS评分**：虽需用户交互，但**影响范围极大**（C/I/A均为High）。 • **建议**：尽快打补丁，尤其是面向企业用户和远程办公场景。不要忽视“用户交互”要求，社会工程学仍是主要入口。