微軟修復「Perfect 10」漏洞：一次看懂 Entra ID 資安風險與自保方法

你可能會想：「微軟又修補漏洞了，有那麼嚴重嗎？」老實說，這次不太一樣。2026年8月22日，微軟悄悄修復了一個編號為CVE-2026-XXXX的資安漏洞，代號叫「Perfect 10」——光聽名字就知道不是省油的燈。

這個漏洞出現在 Microsoft Entra ID（就是以前的 Azure AD）裡，嚴重程度直接給到最高分10分。翻成白話文：如果沒被及時發現，駭客根本不用靠任何木馬或社交工程，直接從遠端就能在你家公司雲端環境裡執行任意程式碼。想像一下，攻擊者可以存取所有員工帳號、讀取機密文件、甚至把你的雲端資源變成挖礦工具——而你完全不會察覺。

「Perfect 10」漏洞到底有多危險？

讓我們把這件事拆開來看。Microsoft Entra ID 是企業用來管理員工登入、權限、身分驗證的核心系統。你可以把它想像成公司的數位大門——員工進來要刷卡、供應商要申請權限、協力廠商要驗證身份，全部經過這裡。

漏洞的攻擊原理

根據目前公開的資訊（來源是 Decrypt 的報導），這個漏洞利用了 Entra ID 的驗證流程缺陷。攻擊者只需要拥有一组有效的帳號憑證（比方說從暗網買到的員工帳密），就能:

• 繞過多因素驗證（MFA）的保護機制
• 在未經授權的情況下取得更高的管理權限
• 在雲端伺服器上執行任何指令

重點來了：微軟說他們在正式發布 CVE 編號之前就已經把漏洞修好了，而且目前沒有發現任何被實際利用的痕跡。這是不幸中的大幸，但我們不能把資安依賴在「運氣好」上。

企業使用者該怎麼自保？

先講結論：如果你們公司有使用 Microsoft 365、Azure 或任何基於 Entra ID 的服務，請立刻檢查以下幾件事。

立即檢查清單

檢查項目	為什麼重要	如何確認
Entra ID 版本	確認已更新至最新版本	進入 Azure 入口網站 > Entra ID > 裝置
管理員帳號	檢查是否有異常管理員新增	檢視「全域管理員」成員名單
登入風險政策	確認登入異常偵測已啟用	Entra ID Protection > 風險原則
稽核日誌	查看最近是否有可疑活動	Entra ID > 監視 > 稽核日誌

如果你不確定自己的權限或不知道怎麼檢查，拜託直接找 IT 部門或資安窗口問清楚。千萬不要以為「微軟說沒事」就代表完全不用處理——漏洞修補是技術層面的事，但你的帳號是否被盯上，那是另一回事。

為什麼這件事值得關注？

我知道很多讀者看到「微軟漏洞」這四個字就只想滑走，覺得「關我屁事」。但如果你有以下任何一種情況，這篇文章真的跟你有關：

• 你在公司負責採購 IT 系統或管理員工帳號
• 你是技術人員，需要向主管說明這次事件的風險
• 你是小型企業老闆，覺得「駭客不會來找我」
• 你只是單純關心自己的 Microsoft 帳號安全

說真的，2026年的網路攻擊早就不是只針對大企業了。中小型企業、診所、补习班、獨立工作室——只要你有雲端帳號，你就是目標。駭客現在都是自動化攻擊，拿著工具四處掃描，根本不管你是誰。

其他你需要知道的事

漏洞編號與發布時間

這次漏洞的 CVE 編號是 CVE-2026-XXXX（正式編號有待 NIST 公布），於 2026 年 8 月 22 日由微軟主動發布。值得注意的是，這次微軟選擇在修補完成後才公開漏洞細節，而不是像過去有些公司等到被駭之後才承認——這點算是值得肯定。

嚴重程度10分是什麼概念？

CVSS（通用漏洞評分系統）的分數範圍是 0 到 10。10分代表「極度緊急」，通常意味著:

1. 攻擊難度極低（不需要什麼技術就能發動）
2. 影響範圍極廣（幾乎所有受影響的用戶都會中標）
3. 後果極度嚴重（資料竊取、系統控制權被奪走）

過去幾年裡，能拿到10分的漏洞並不多見。上一次引起類似關注的，大概是 Log4j 了——而那次讓整個網際網路折騰了好一陣子。

FAQ 常見問題

Q1: 我的個人 Microsoft 帳號會受影響嗎？

這次漏洞主要影響的是企業版的 Entra ID，也就是針對公司、學校、政府機關的付費服務。個人 Outlook 或 Xbox 帳號基本不受影響，但如果你有申請 Microsoft 365 個人版，理論上也是用同一套驗證系統，風險較低但仍建議開啟雙重驗證。

Q2: 微軟說沒被攻擊，我還需要緊張嗎？

「目前沒發現被攻擊」不代表「永遠不會被攻擊」。漏洞細節一旦公開，其他駭客就會開始研究。即使微軟已經修補，如果你沒更新到最新版本，一樣是肉靶子。重點是：不要把資安依賴在「僥倖」上。

Q3: 我該怎麼確認公司系統已經更新？

如果是 IT 管理員，請直接登入 Azure 入口網站，檢查 Entra ID 的版本號碼。如果你是普通員工，問一下公司的 IT 窗口最直接。千萬不要自己亂改設定，有些權限一旦動錯，可能會導致整個公司的登入系統出問題。

Q4: 聽說這個漏洞可以繞過 MFA，真的假的？

這是比較讓人擔心的部分。根據目前有限的公開資訊，攻擊者如果已經取得一組有效帳號密碼，確實有可能在特定條件下繞過多因素驗證。這也是為什麼我們一直強調：密碼強度、密碼不要重複使用、看到奇怪登入通知要立刻回報——這些基本功比什麼都重要。

Q5: 我該不該因為這件事放棄 Microsoft 365？

完全不用。任何系統都會有漏洞，重點是廠商有沒有盡快修。Google、AWS、Salesforce 也都曾出過問題。與其跳槽，還不如把時間花在把基本資安措施做好——這才是真正能保護你的方法。

資安這件事，預防永遠比補救便宜。與其等到被駭才來后悔，還不如現在就動起來。如果你對自己公司的資安狀況有疑慮，或想了解更多關於如何加強 Microsoft 365 的安全設定，歡迎持續關注我們的文章更新，或者直接找專業的 IT 顧問幫你做一次健檢。