官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
微软已修复Outlook中一个关键远程代码执行（RCE）漏洞（CVE-2025-62562），该漏洞可能允许攻击者在易受攻击的系统上执行恶意代码。该漏洞于2025年12月9日披露，需要IT管理员和终端用户立即关注。
漏洞技术细节
该漏洞源于Microsoft Office Outlook中的释放后使用（use-after-free）缺陷。根据微软漏洞分类标准，该漏洞被评定为"重要"级别（CVSS评分：7.8）。攻击媒介为本地攻击，这意味着攻击者必须诱使用户与恶意电子邮件交互才能触发漏洞利用。
具体而言，攻击者会发送精心构造的电子邮件，诱骗用户进行回复，从而触发代码执行链。与典型的远程代码执行漏洞不同，此漏洞需要受害者在本地机器上进行交互。预览窗格并非此漏洞的攻击媒介，攻击者需要用户手动回复特制邮件才能利用该漏洞。
受影响产品及修复状态
| 产品 | 受影响版本 | 更新状态 |
|---|---|---|
| Microsoft Word 2016 | 32位和64位 | 已提供(KB5002806) |
| Microsoft Office LTSC 2024 | 32位和64位 | 已提供 |
| Microsoft Office LTSC 2021 | 32位和64位 | 已提供 |
| Microsoft Office 2019 | 32位和64位 | 已提供 |
| Microsoft 365企业应用版 | 32位和64位 | 已提供 |
| Microsoft SharePoint Server 2019 | 所有版本 | 已提供 |
| Microsoft SharePoint企业服务器2016 | 所有版本 | 已提供 |
| Microsoft Office LTSC for Mac 2024 | Mac版 | 暂未提供 |
| Microsoft Office LTSC for Mac 2021 | Mac版 | 暂未提供 |
安全更新已针对大多数受影响版本发布，其中Word 2016的构建版本号为16.0.5530.1000。微软确认安全补丁可通过Windows更新和微软下载中心获取。但Microsoft Office LTSC for Mac 2021和2024的更新尚未立即提供，将尽快发布。
缓解措施与建议
微软建议各组织优先在所有受影响的Microsoft Office版本上安装可用的安全更新。管理多系统的管理员应根据其部署标准在32位和64位版本上部署补丁。对于无法立即安装补丁的系统，微软建议谨慎处理未经请求的电子邮件，避免回复可疑消息。
安全社区确认EXPMON的李海飞通过协调披露机制发现并报告了该漏洞。截至发稿时，尚无证据表明该漏洞已被主动利用或公开披露漏洞利用代码。
参考来源：
Microsoft Outlook Vulnerability Let Attackers Execute Malicious Code Remotely
本文为 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf
客服小蜜蜂（微信：freebee1024）