从 SharePoint 0day 事件看应急修复：补丁之外还要做什么
回顾 CVE-2025-53770 事件，将公网隔离、节点升级、密钥轮换和入侵排查连成完整流程。
本文目录
这是历史事件复盘
微软于 2025 年 7 月 22 日发布针对本地部署 SharePoint 漏洞利用的说明，涉及 CVE-2025-53770 与 CVE-2025-53771；CVE-2025-53770 已于 7 月 20 日进入 KEV。本文复盘当时的 0day 处置经验，不表示 2026 年 10 月又出现了同名新漏洞。
产品部署方式决定排查范围
应先区分本地部署 SharePoint Server 与 SharePoint Online，再清点版本和节点。历史上已停止支持的实例还要评估迁移或下线。应急阶段限制公网入口时，保留授权管理路径并检查备用域名，避免只隐藏首页却继续暴露其他可达入口。
修补漏洞与处置失陷是两件工作
微软指导包含应用安全更新、检查入侵迹象及相关密钥轮换等措施。运维应按厂商规定顺序落实到全部节点，而不是看到安装成功就恢复全部访问。如果发现异常文件或账号操作，需要扩大调查到身份、会话与相邻系统，并保全日志。
给下一次 0day 预留操作空间
建议预先维护负责人、隔离入口、可信备份和业务回归清单。未知漏洞阶段可以依据厂商措施降低暴露，但不要承诺某条通用规则能永久防住全部变种。恢复后记录哪些访问被阻断、哪些依赖受影响，以便下一次更快完成判断。