從 SharePoint 0day 事件看應急修復：補丁之外還要做什么
回顧 CVE-2025-53770 事件，將公網隔離、節點升級、密鑰輪換和入侵排查連成完整流程。
本文目錄
這是歷史事件復盤
微軟于 2025 年 7 月 22 日發布針對本地部署 SharePoint 漏洞利用的說明，涉及 CVE-2025-53770 與 CVE-2025-53771；CVE-2025-53770 已于 7 月 20 日進入 KEV。本文復盤當時的 0day 處置經驗，不表示 2026 年 10 月又出現了同名新漏洞。
產品部署方式決定排查范圍
應先區分本地部署 SharePoint Server 與 SharePoint Online，再清點版本和節點。歷史上已停止支持的實例還要評估遷移或下線。應急階段限制公網入口時，保留授權管理路徑并檢查備用網域，避免只隱藏首頁卻繼續暴露其他可達入口。
修補漏洞與處置失陷是兩件工作
微軟指導包含應用安全更新、檢查入侵跡象及相關密鑰輪換等措施。運維應按廠商規定順序落實到全部節點，而不是看到安裝成功就恢復全部存取。如果發現異常文件或帳號操作，需要擴大調查到身份、會話與相鄰系統，并保全日誌。
給下一次 0day 預留操作空間
建議預先維護負責人、隔離入口、可信備份和業務回歸清單。未知漏洞階段可以依據廠商措施降低暴露，但不要承諾某條通用規則能永久防住全部變種。恢復后記錄哪些存取被阻斷、哪些依賴受影響，以便下一次更快完成判斷。