微軟 12 月安全更新概述
2025 年 12 月 9 日，微軟發佈了本年度最後一次安全更新，修復了 Windows 作業系統及其支援軟體中的至少 56 個安全漏洞。本次更新特別關注一個已被利用的零日漏洞，以及兩個公開披露的漏洞。
儘管過去幾個月內發佈的安全更新數量較少，微軟在 2025 年共修補了 1,129 個漏洞，比 2024 年增加了 11.9%。根據 Tenable 的 Satnam Narang 所述，這是微軟連續第二年修補超過一千個漏洞，也是自成立以來第三次達到此數量。
本月嚴重漏洞詳情
本次修復的零日漏洞為 CVE-2025-62221，這是一個影響 Windows 10 及更新版本的權限提升漏洞。該漏洞存在於“Windows 雲端文件迷你過濾驅動程式”中，這是一個用於雲端應用程式訪問檔案系統功能的系統驅動程式。Rapid7 的首席軟體工程師 Adam Barnett 指出，此驅動對於像 OneDrive、Google Drive 和 iCloud 等服務至關重要，即便這些應用未安裝，該驅動依然是 Windows 的核心組件。
只有三個漏洞被微軟評為“嚴重”，其中 CVE-2025-62554 和 CVE-2025-62557 影響 Microsoft Office，僅需在預覽窗格中查看惡意電子郵件即可被利用。另一個嚴重漏洞 CVE-2025-62562 影響 Microsoft Outlook，但預覽窗格不會成為攻擊途徑。
其他重要更新
微軟指出，本月更新中最可能被利用的漏洞是其他（非嚴重）權限提升漏洞，包括：
- CVE-2025-62458 - Win32k
- CVE-2025-62470 - Windows 共用日誌檔案系統驅動程式
- CVE-2025-62472 - Windows 遠端存取連接管理器
- CVE-2025-59516 和 CVE-2025-59517 - Windows Storage VSP 驅動程式
Immersive 的資深威脅研究主管 Kev Breen 表示，權限提升漏洞幾乎在每次主機入侵事件中都能被觀察到。他指出，儘管這些漏洞尚未被主動利用，但應盡快修補。
額外關注的漏洞
本月修補的另一個有趣漏洞是 CVE-2025-64671，這是影響 Microsoft 和 GitHub 使用的 Jetbrains AI 編碼助理的 Github Copilot 插件中的遠端代碼執行漏洞。此漏洞允許攻擊者通過欺騙大型語言模型（LLM）來執行繞過用戶“自動批准”設置的命令。
CVE-2025-64671 是由安全研究員 Ari Marzuk 所稱的 IDEsaster（IDE 指“集成開發環境”）安全危機的一部分，這涉及幾乎所有主要 AI 編碼平台中超過 30 個獨立漏洞。
此外，CVE-2025-54100 是影響 Windows Server 2008 及更新版本的 Windows Powershell 中的遠端代碼執行漏洞，允許未經身份認證的攻擊者在用戶安全上下文中運行代碼。
更多安全更新的詳細信息，請參考 SANS Internet Storm Center 的綜合報告。如在應用本月更新時遇到問題，歡迎在評論區留言。