2026年1月安全更新回顾

我可能正在东京为Pwn2Own Automotive做准备，但这并不能阻止补丁星期二的到来。请暂时放下你那些未能实现的新年决心，让我们来回顾一下Adobe和微软发布的最新安全补丁。如果你想观看涵盖整个发布内容的完整视频回顾，可以点击这里查看：

Adobe 2026年1月补丁

1月份，Adobe发布了11份安全公告，修复了Adobe Dreamweaver、InDesign、Illustrator、InCopy、Bridge、Substance 3D Modeler、Substance 3D Stager、Substance 3D Painter、Substance 3D Sampler、Substance 3D Designer和ColdFusion中的25个独立CVE。ColdFusion的补丁修复了一个代码执行漏洞，但该更新被列为优先级1。不过，该漏洞并非公开已知或正遭受主动攻击。Dreamweaver的修复纠正了五个严重级别的代码执行漏洞。InDesign的更新也包含五个CVE，但只有四个被评为严重级别。Substance 3D Modeler补丁总共包含六个修复，但只有两个是针对任意代码执行的。

Substance 3D Stager的补丁修复了一个严重级别的代码执行漏洞。Substance 3D Painter、Adobe Bridge和InCopy的情况与此相同。Substance 3D Sampler的补丁有点奇怪。它声称是在8月发布的，但今天进行了更新。CVE编号是2026年的，所以这可能只是一个文书错误。Substance 3D Designer的补丁修复了一个重要严重级别的内存泄漏。最后，Illustrator的修复包括一个严重级别和一个重要严重级别的漏洞。

Adobe本月修复的所有漏洞在发布时均未被列为公开已知或正遭受主动攻击。除了ColdFusion的修复外，Adobe本月发布的所有更新都被列为部署优先级3。

Microsoft 2026年1月补丁

微软以一声巨响开启了新的一年，在Windows和Windows组件、Office和Office组件、Azure、Microsoft Edge（基于Chromium）、SharePoint Server、SQL Server、SMB Server和Windows Management Services中发布了112个新CVE。

其中一个漏洞是通过ZDI项目提交的。在今天发布的补丁中，有8个被评为严重级别，其余则被评为重要严重级别。算上发布中列出的第三方Chromium更新，CVE总数达到114个。

在一月份看到大量发布并不罕见。我怀疑供应商在假日季会暂缓某些更新，以防补丁失败或导致应用程序兼容性问题造成中断。这导致了一月份的大量发布。去年是微软在发布CVE数量方面第二繁忙的一年。我们看看他们在2026年是否会超过这个数字。

微软列出了一个正遭受主动攻击的漏洞，但另外两个在发布时被列为公开已知（尽管我认为这个数字应该是三个）。让我们更仔细地看看本月一些更有趣的更新，从正遭受主动攻击的漏洞开始：

• CVE-2026-20805** - 桌面窗口管理器信息泄露漏洞**
  在野外看到信息泄露漏洞被利用有点不寻常，但我们这里遇到的就是这种情况。此漏洞允许攻击者从远程ALPC端口泄露段地址。据推测，威胁行为者随后会在其漏洞利用链的下一阶段使用该地址——可能用于获得任意代码执行。这表明内存泄漏可能与代码执行漏洞一样重要，因为它们使RCE变得可靠。一如既往，微软没有说明这些漏洞利用可能有多广泛，但考虑到来源，它们可能很有限。

• CVE-2026-21265** - 安全启动证书过期安全功能绕过漏洞**
  虽然不太可能被利用，但这个漏洞可能会给管理员带来不少麻烦。您需要更新即将过期的证书，才能继续接收安全更新或信任新的引导加载程序。同样，此CVE被利用的几率很低。然而，此CVE被忽略且使用安全启动的设备未收到补丁的几率相当高。另外，这被列为公开已知，但这只是意味着微软几个月前就发布了相关信息。

• CVE-2026-20952/202953** - Microsoft Office 远程代码执行漏洞**
  又是一个在Office漏洞中出现预览窗格利用向量的月份。虽然我们仍然不知道这些漏洞有任何被利用的情况，但它们一直在累积。威胁行为者找到在其漏洞利用中使用此类漏洞的方法只是时间问题。如果您担心这些问题，可以采取额外的预防措施，禁用预览窗格，这至少可以防止无需用户交互的利用。

• CVE-2026-20876** – Windows 基于虚拟化的安全性 (VBS) 安全区权限提升漏洞**
  VBS是Windows中较新的安全功能，虚拟信任级别 (VTL) 用作不同的权限级别。VTL2目前是最高权限级别，此漏洞允许攻击者提升到VTL2。微软没有说明利用此漏洞是否需要处于VTL0或VTL1。据我所知，这是VBS内修补的第一个VTL提升漏洞。微软将其列为CVSS 6.7，但我认为这是一个范围变更，因为您正在跨越VTL级别。考虑到这一点，CVSS分数应为8.2（高）。

以下是微软2026年1月发布的CVE完整列表：

** 表示此CVE已由第三方发布，现被纳入微软发布中。*
† 表示需要进一步的管理操作才能完全解决该漏洞。

* *

接下来看看本月发布中其他严重级别的漏洞，有几个奇怪的Excel漏洞收到了补丁。起初，我以为会涉及预览窗格，但并没有。事实上，根本不清楚是什么让这些漏洞被评为严重级别。Word漏洞的情况则不同，预览窗格确实是一个攻击向量。LSASS中的漏洞允许通过网络执行代码，但需要经过身份验证。最后一个严重漏洞是涉及GPU半虚拟化的权限提升，可能导致本地用户以SYSTEM权限执行代码。出于某种原因，我觉得我们只是触及了GPU相关漏洞的表面。

看看本月发布中的其他代码执行漏洞，Word和Excel中存在标准的打开即中招漏洞。SharePoint漏洞需要身份验证，但几乎每个经过身份验证的用户都将拥有所需的权限。有一个有趣的SharePoint漏洞是由前ZDI分析师Piotr Bazydło报告的。这个漏洞不需要身份验证，但确实需要用户交互，例如导入恶意的WSDL或打开文件。WSUS中的漏洞看起来很可怕，但它需要中间人 (MiTM) 才能利用该问题。NTFS中的两个漏洞需要身份验证。Azure Core中的漏洞要求攻击者将有效令牌更改为恶意令牌，这需要“开发者类型的身份验证”——无论这意味着什么。

一月份最后一个代码执行漏洞需要额外的修复步骤。微软正在移除Windows部署服务的免提部署功能。这意味着您需要审核您的企业，以查找配置了免提部署的系统。然后，您需要立即选择启用保护。您还需要制定计划，在微软于2026年中移除该功能之前，将这些系统迁移到非免提的其他方式。

权限提升 (EoP) 漏洞构成了本次发布的大部分，但大多数只是导致本地攻击者以SYSTEM级别权限或管理权限执行其代码。还有相当多的漏洞允许攻击者从低完整性级别提升到中完整性级别，以逃逸AppContainer隔离。这些漏洞大多在Windows管理服务中。有一个漏洞导致“内核内存访问”——无论这意味着什么。另一个漏洞导致更改VTL级别，但这个漏洞只能让您获得VTL1访问权限。Windows Admin Center (WAC) 中的漏洞很有趣，因为它可能允许攻击者在租户内获得目标WAC管理机器的本地管理员权限。这使攻击者能够与其他租户的应用程序和内容进行交互。WalletService中的漏洞只会导致被入侵用户的权限。文件资源管理器漏洞也是如此。SQL Server中的漏洞允许攻击者获得调试权限，包括转储内存的能力。一如既往，SQL管理员需要采取额外步骤才能完全修复此问题。最后一个EoP实际上来自2024年。微软没有将其列为公开，但我认为是。已经有新闻报道描述了此漏洞。该漏洞存在于Motorola Soft Modem驱动程序中，这些驱动程序默认安装在受支持的Windows操作系统上。这是一个已弃用的设备，因此微软不是修复驱动程序，而是完全移除驱动程序。

还有几个额外的安全功能绕过漏洞需要讨论。第一个在Excel中，它可能允许攻击者绕过宏保护。它还需要一些用户交互，所以它不仅仅是一个打开即中招的漏洞。远程协助中的漏洞允许攻击者逃避网络标记 (MotW) 保护。

本月有很多信息泄露漏洞收到修复。许多只导致未指定内存内容或内存地址的信息泄露，但也有多个例外。CamSvc中的漏洞泄露了非常流行的“敏感信息”。另一个CamSvc漏洞泄露了功能访问管理器服务的内存。有几个漏洞允许处于VTL0的人查看VTL1的数据——同样，据我所知这是第一次。Windows文件资源管理器有几个漏洞可能泄露沙箱外的地址。这对于沙箱逃逸肯定有用。Kerberos中的漏洞听起来不那么令人兴奋，但安装补丁后需要额外的步骤。TPM中的漏洞允许攻击者泄露“受影响应用程序用户的秘密或特权信息”。动态信任根度量 (DRTM) 组件中的漏洞泄露加密秘密。Hyper-V漏洞很有趣，因为它允许攻击者将来宾VM的数据泄露给Hyper-V主机服务器，绕过虚拟化安全边界。最后，SharePoint信息泄露很有趣，因为它允许暴露SharePoint代表攻击者发出的出站请求返回的数据。这就像攻击者可以使用受影响的系统代表他们执行侦察。

一月份的发布包含五个欺骗漏洞的修复，尽管其中一些关于漏洞本身的描述相当晦涩。我们可以说SharePoint中的漏洞是一个跨站脚本 (XSS) 漏洞。其中两个漏洞只是说明它们允许通过网络进行欺骗。NTLM哈希泄露中的漏洞至少列出了需要用户交互的事实。

说到不清晰的描述，有三个漏洞具有永远难以捉摸的篡改影响。两个在Windows Hello中，允许“未经授权的攻击者在本地执行篡改”。这可能意味着他们可以滥用Hello组件来绕过它，但这并没有明确说明。同样，LDAP漏洞只是说明它可能允许通过网络进行篡改。

最后，SMB和LSASS中有两个拒绝服务漏洞。然而，微软没有提供关于这些漏洞的真实信息，只是说攻击者可以使用它们通过网络拒绝服务。至少他们注意到SMB漏洞需要身份验证。

本月没有发布新的安全公告。

展望未来

假设我在Pwn2Own Automotive中幸存下来，并且没有变成一块巨大的寿司，我将在2月10日回来处理二月份的发布。在那之前，请注意安全，愉快地打补丁，愿您的所有重启都顺利干净！

• 安全补丁
• Adobe
• Windows