【資安警訊】微軟Windows作業系統重大漏洞（CVE-2021-40444），已被勒索軟體利用攻擊，需立即更新9月修補檔

漏洞概要

漏洞編號：CVE-2021-40444
風險等級：CVSS 3.0評分8.8分（最嚴重10分）
影響產品：Windows 7, Windows 8.1, Windows 10, Windows Server 2008, Windows Server 2012, Windows Server 2016, Windows Server 2019, Windows Server 2022
解決方法：微軟已提供修補程式（官方更新指引）
攻擊利用：已知攻擊手法與攻擊事件

事件概覽

編號為CVE-2021-40444的Windows作業系統重大漏洞，肇因於IE瀏覽器的MSHTML核心元件存在可被利用的軟體漏洞，使得攻擊者可透過惡意的Office文件檔，誘使受害者開啟檔案，進而讓攻擊者由遠端控制電腦並可任意執行程式碼。微軟已於9月14日提供修補程式，而多家資安公司皆發現利用此漏洞的攻擊事件，其中包含勒索軟體攻擊，建議Windows用戶立即更新作業系統。

漏洞說明

微軟安全回應中心（Microsoft Security Response Center, MSRC）在9月7日公告編號為CVE-2021-40444的Windows作業系統重大漏洞，揭露由資安公司Mandiant、EXPMON及微軟所發現的Windows作業系統重大零時差漏洞。

CVE-2021-40444漏洞存在於IE瀏覽器的核心元件MSHTML，微軟在8月時發現有少數攻擊事件開始利用這個當時尚未被知曉的零時差漏洞，攻擊者在Office文件檔（Word, Excel, Powerpoint）加入惡意ActiveX控制項，藉由使用者開啟文件檔而將惡意程式、Cobalt Strike Beacon載入電腦，進而取得電腦的控制權，以利攻擊者後續透過受害電腦橫向攻擊其所在網域的其他電腦。

影響程度

此一漏洞以CVSS 3.0漏洞評分系統評估為8.8分（最嚴重為10分），屬重大危險等級的漏洞。
受CVE-2021-40444漏洞波及的Windows作業系統廣泛，個人電腦部分涵蓋Windows 7至Windows 10，伺服器電腦部分涵蓋Windows Server 2008至Windows Server 2022。

漏洞利用

微軟已於8月發現攻擊手法，多家資安公司後續也驗證此漏洞的攻擊手法，可由遠端發動攻擊並執行任意程式碼。
多家資安公司陸續發現利用MSHTML漏洞的網路攻擊，其中包括勒索軟體也開始利用此漏洞發動攻擊。
利用此漏洞的攻擊手法可能會是透過釣魚郵件，誘使收信者開啟惡意的Office檔案，一旦未修補此漏洞的電腦開啟惡意文件後，攻擊者即可取得電腦的控制權。

漏洞修補

微軟已於9月14日的每月更新中，釋出修補程式，建議Windows使用者立即更新作業系統。（官方更新指引）

事件時間軸

2021年9月7日微軟MSRT發布CVE 2021-40444漏洞公告
2021年9月14日微軟於2021年9月軟體更新提供修補檔