Microsoft 修補「Perfect 10」資安漏洞！可能允許駭客遠端執行程式碼

你可能會發現，最近 Microsoft 發布了一個引起資安圈熱議的修補程式，但老實說，如果不是專業技術人員，大概很難注意到這件事到底有多嚴重。先講結論：這次的漏洞被稱為「Perfect 10」，評分是最高等級的嚴重性，如果你有使用 Microsoft 的企業身份管理服務，原則上都應該盡快確認更新狀態。

「Perfect 10」漏洞到底是什麼？

這次被發現的漏洞存在於 Microsoft Entra ID（之前叫做 Azure AD）當中。根據安全研究人員的描述，攻擊者只要利用這個漏洞，就有辦法在未經授權的情況下，透過遠端方式在受影響的系統上執行任意程式碼。

翻成白話一點，就是駭客可能不需要拿到你的帳號密碼，只要找到正確的攻擊路徑，就能在你的伺服器上「跑他自己的程式」。這對企業來說，簡直就是噩梦般的場景。

漏洞編號與嚴重性

• CVE 編號：由 Microsoft 統一編列
• CVSS 評分：10 分（滿分為 10 分，等同於「緊急」層級）
• 影響範圍：Microsoft Entra ID 相關元件

Microsoft 的回應與修補時程

好消息是，Microsoft 在發現這個漏洞後，選擇在對外公開 CVE（通用漏洞披露）之前就先把洞補好了。這種做法在資安圈其實蠻少見的，畢竟很多廠商都是等到研究人員把問題公開後才開始修。

根據 Microsoft 官方說法，他們在發布修補程式之前，並沒有發現任何實際被利用的跡象。也就是說，截至目前為止，這個漏洞應該還沒有被拿來攻擊過真實的企業用戶。

修補狀況檢視

不過，這種「還沒被用到」的狀況並不代表你可以輕忽。資安專家常說一句話：漏洞永遠是、防護永遠不夠。特別是這種評分破表的重大漏洞，駭客組織往往會在修補程式發布後，開始反向工程去找出漏洞的具體細節，然後對那些來不及更新的系統發動攻擊。

我該怎麼保護自己的系統？

如果你有使用 Microsoft 365 或 Azure 相關服務，以下是你現在就可以做的幾件事：

1. 檢查更新狀態：登入 Microsoft 365 管理後台，確認所有安全性更新都已套用
2. 查看漏洞編號：到 Microsoft Security Response Center 搜尋相關 CVE 編號，確認你的系統版本是否在受影響範圍內
3. 啟用多因素驗證：即使修補了漏洞，多因素驗證（MFA）仍然是防止帳號被盜的最佳防線
4. 監控登入紀錄：定期檢查 Azure AD 的登入日誌，留意任何異常的存取行為

這個漏洞對一般使用者有影響嗎？

老實說，如果你是使用個人 Microsoft 帳號（例如 Outlook、OneDrive 這種），這次的事件對你的直接影響相對較小。這次漏洞主要瞄準的是企業版的 Entra ID 服務，也就是說，受影響的對象是 IT 管理員和企業資安人員比較多。

不過，如果你剛好是企業的 IT 管理員，或者負責單位的資安工作，那這件事就很重要了。你需要趕快確認單位的 Microsoft 365 / Azure 訂閱是否已經收到這次的修補更新。

為什麼這類漏洞值得關注？

近年來，身份驗證服務已經成為駭客最喜歡下手的目標。想想看，只要攻破一個身份管理系統，駭客就能一次取得整個組織的存取權限，這比一個一個盜帳號有效率多了。

再加上現在很多企業都把業務搬到雲端，Entra ID 這種身份即服務（Identity as a Service）一旦出問題，影響範圍往往會比傳統內部伺服器還要大。這也是為什麼，每次看到 Microsoft 發布這類重大資安更新，我 都會特別提醒讀者趕快檢查自己的系統。

FAQ 常見問題

Q1: 我怎麼知道我的系統有沒有被這個漏洞影響？

最直接的方式是登入 Microsoft 365 管理後台，查看安全性更新的狀態。如果你使用的是 Azure，也可以到資安中心的儀表板查看修補進度。

Q2: 這個漏洞會影響個人 Microsoft 帳號嗎？

這次的事件主要影響企業版的 Entra ID（舊稱 Azure AD）服務。個人 Outlook、OneDrive 等帳號基本上不會受到直接影響，但如果你有使用企業版的 Microsoft 365，那就要注意了。

Q3: Microsoft 說沒有人被攻擊，我還需要緊張嗎？

我的建議是：可以不用過度恐慌，但千萬不要掉以輕心。漏洞在修補前沒被利用，不代表之後不會。駭客通常會在漏洞公開後才開始動作，所以及時更新永遠是上策。

Q4: 除了 Microsoft 官方的修補，我還能做什麼自保？

除了套用更新之外，務必確認你有啟用多因素驗證（MFA），這是最基本也最有效的防線。另外，定期檢查帳號的登入紀錄，留意任何可疑活動，也是很好的資安習慣。

如果你是企業的 IT 或資安人員，建議儘快排程檢查這次的修補狀況。雲端服務的安全性，某種程度上是 Microsoft 和客戶共同責任，及時更新永遠是最簡單也最有效的防護措施。