CISA 警告：駭客利用 17 年前 Excel 漏洞發動攻擊

事件概述

美國網路安全與基礎設施安全局（CISA）本週二（4/14）將兩個安全漏洞列入已知遭利用漏洞清單（KEV），要求美國聯邦機構於兩週內修補。

其中一個漏洞是微軟甫於同一天修補的 SharePoint Server 漏洞 CVE-2026-32201。另一個則是存在於 Microsoft Office Excel 中的記憶體毀損漏洞，識別碼為 CVE-2009-0238。

該 Excel 漏洞最早可追溯至 2009 年 2 月，根據微軟在 17 年前的公告，當使用者開啟包含異常物件的特製 Excel 檔案時，駭客便能成功利用此漏洞自遠端執行任意程式碼。

威脅行為者正利用此漏洞發動攻擊，主要手法為使用釣魚電郵寄出經過特殊設計的 Excel 檔案。一旦受害者開啟該檔案，攻擊者便能遠端執行惡意程式碼，植入惡意軟體。

該漏洞的 CVSS 風險分數高達 9.3，屬於極高風險等級。