文章总结： 黑客论坛上出现名为Zeroplayer的威胁行为者正在出售针对微软Office和Windows系统的0Day远程代码执行漏洞，标价3万美元。该漏洞具有沙箱逃逸功能，可通过恶意Office文档投放有效载荷，突破Office沙箱，实现Windows系统完全控制。文章分析了漏洞详情和潜在危害，指出该漏洞可能被用于勒索软件、间谍活动或数据窃取。针对企业，文章提供了防护建议，包括禁用宏、启用受保护视图模式、部署高级威胁防护工具等，并建议安全团队密切监控异常活动，等待微软发布补丁。
综合评分： 79
文章分类： 漏洞分析,漏洞预警,应用安全,WEB安全,网络安全
黑客论坛惊现微软Office 0Day RCE漏洞交易
FreeBuf
2025年11月21日 18:31
上海
网络安全社区近日拉响警报，黑客论坛上出现名为Zeroplayer的威胁行为者正在出售针对微软Office和Windows系统的0Day远程代码执行（RCE）漏洞，该漏洞还包含沙箱逃逸功能。据称该漏洞利用链标价3万美元，可影响包括最新版本在内的大多数Office文件格式，甚至能突破已完全打补丁的Windows系统防护。
Part01
漏洞详情分析
该漏洞广告发布于俄语黑客论坛，描述称这是一个具有高影响力的0Day漏洞，可通过恶意Office文档投放有效载荷。Zeroplayer声称该利用链能使攻击者突破Office沙箱（这一关键安全功能本用于隔离潜在有害代码），最终实现Windows系统的完全控制。攻击载体通常是将漏洞利用代码嵌入Word或Excel等常见文件类型，通过钓鱼邮件或遭入侵网站进行传播。
卖家通过私信方式提供漏洞演示和PoC细节，特别强调该漏洞与近期更新兼容，可有效规避杀毒软件检测。这并非Zeroplayer首次涉足漏洞交易市场——该攻击者曾在2025年7月以8万美元价格出售WinRAR 0Day RCE漏洞，其攻击目标明显集中于广泛使用的办公和压缩软件。
Part02
潜在危害评估
微软在2025年11月的补丁星期二中修复了Office多个关键RCE漏洞，包括可通过恶意文档利用的释放后使用漏洞（CVE-2025-62199）。但现有补丁仅针对已知问题，未涉及这个新曝光的0Day漏洞，加之其沙箱逃逸特性，使得威胁程度更为严峻。沙箱逃逸会瓦解Office防御宏攻击的主要屏障，使恶意软件能够在网络内横向传播。
安全专家指出，俄语黑客论坛常成为国家级黑客或机会主义威胁行为者的聚集地，此类漏洞可能被武器化用于勒索软件、间谍活动或数据窃取。历史案例显示，俄罗斯黑客组织Storm-0978曾在2023年利用Office RCE漏洞（CVE-2023-36884）针对西方目标部署后门程序。
Part03
企业防护建议
该0Day漏洞对依赖Microsoft 365的企业影响尤为严重，攻击者可能借此入侵供应链或实施定向渗透，规避端点检测响应。鉴于Office在全球超过14亿设备上的普及率，未打补丁的系统面临鱼叉式钓鱼攻击的高风险。企业应立即采取以下措施：
- 在Office策略中强制禁用宏
- 为所有文档启用”受保护的视图”模式
- 部署高级威胁防护工具
安全团队需密切监控异常论坛活动，并紧急应用即将发布的补丁。若出现漏洞利用证据，微软可能会加速修复进程。
参考来源：
Threat Actors Allegedly Selling Microsoft Office 0-Day RCE Vulnerability on Hacking Forums
Threat Actors Allegedly Selling Microsoft Office 0-Day RCE Vulnerability on Hacking Forums
#
#
#
推荐阅读
#
电台讨论
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：FreeBuf 《黑客论坛惊现微软Office 0Day RCE漏洞交易》