自动草稿
微软发布关键安全更新，修复了Microsoft Office中的三个严重漏洞，这些漏洞可能允许攻击者在受影响系统上执行远程代码。这些漏洞编号为CVE-2025-53731、CVE-2025-53740和CVE-2025-53730，影响多个版本的Microsoft Office，对全球企业和个人用户构成重大安全风险。Part01

释放后使用漏洞

新披露的漏洞源于释放后使用(use-after-free)内存损坏问题，在通用缺陷枚举(CWE)数据库中归类为CWE-416。

CVE-2025-53731和CVE-2025-53740均被评定为”严重”级别，CVSS基础评分为8.4；而影响Microsoft Office Visio的CVE-2025-53730被评定为”重要”级别，CVSS评分为7.8。这些漏洞具有相似的攻击模式，未经授权的攻击者可利用内存管理缺陷在目标系统本地执行任意代码。

技术规格显示，两个严重漏洞的CVSS向量字符串均为CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C，表明攻击复杂度低、无需特权且无需用户交互即可利用。尤其令人担忧的是，预览窗格成为CVE-2025-53731和CVE-2025-53740的攻击媒介，这意味着用户仅需预览恶意Office文档就可能遭到入侵。

Part02

受影响范围

这些漏洞影响广泛的Microsoft Office产品，包括Microsoft Office 2016、Office 2019、Office LTSC 2021、Office LTSC 2024以及32位和64位架构的Microsoft 365企业应用。Mac用户同样面临风险，Microsoft Office LTSC for Mac 2021和2024版本需要立即更新。全球企业和消费环境中数百万用户受到广泛影响。

安全研究人员0x140ce[LLMole]、李爽和Vulnerability Research Institute的willJ，以及Zscaler ThreatLabz的研究人员通过协调披露流程发现了这些漏洞。微软安全响应中心(MSRC)确认这些漏洞均未被公开披露或在野外利用，可利用性评估从”不太可能被利用”到”被利用可能性较低”不等。

自动草稿
Part03

缓解措施

微软已为所有受影响Office版本发布全面安全更新，其中KB5002756更新针对Office 2016版本。对于较新的Office版本，更新通过Click-to-Run机制提供，详细信息可通过微软官方安全发布渠道获取。鉴于漏洞的严重性和预览窗格可能被利用的风险，企业应优先立即部署这些更新。

安全团队应建立全面的漏洞管理计划，不仅限于传统的补丁管理，还应整合威胁情报源和主动监控入侵指标(IOCs)。

参考来源：

Microsoft Office Vulnerabilities Let Attackers Execute Malicious Code Remotely

https://cybersecuritynews.com/microsoft-office-rce-vulnerabilities/

CISA将WinRAR零日漏洞列入已知被利用漏洞目录

自动草稿
美国网络安全和基础设施安全局（CISA）已将该漏洞列入其已知被利用漏洞目录，要求联邦机构在2025年9月2日前完成缓解措施部署。WinRAR已发布7.13版本修复这个正被网络犯罪分子积极利用的关键安全漏洞，这是这款流行文件压缩软件遭遇的又一重大安全事件。
该漏洞编号为CVE-2025-8088，攻击者可通过特制压缩包执行任意代码，已引发全球用户的紧急响应。
Part01

俄罗斯黑客组织利用的关键安全漏洞

新发现的漏洞对Windows用户构成严重威胁，安全研究人员确认其已在真实攻击中被利用。CVE-2025-8088是一个路径遍历漏洞，影响WinRAR、UnRAR的Windows版本及相关组件，可使特制压缩包绕过用户指定的解压路径，将文件写入系统非预期位置。这种能力使攻击者能在受感染系统上执行任意代码，属于极高危安全漏洞。

ESET研究人员将该漏洞与俄罗斯RomCom黑客组织的攻击活动相关联，该组织长期针对欧洲和加拿大的企业。由Anton Cherepanov、Peter Košinár和Peter Strýček组成的研究团队发现该漏洞后已向WinRAR开发商报告。该漏洞CVSS评分为8.4，属于高危级别，凸显其严重性。

Part02