微软于本周二发布了一波大规模安全更新，修复了其软件生态系统中的167个漏洞。此次更新涉及两个零日漏洞，这些漏洞要么已被公开披露，要么正处于黑客的攻击活动中。
据 BleepingComputer 报道，2026年4月的“补丁星期二”（Patch Tuesday）共修复了8个严重漏洞。其中，7个漏洞允许远程代码执行，另有1个漏洞可能导致拒绝服务（DoS）攻击。
在总计167个漏洞的分类中，包括93个权限提升漏洞、21个信息泄露漏洞、20个远程代码执行漏洞以及13个安全功能绕过漏洞。此外，微软还修复了10个拒绝服务漏洞和9个欺骗漏洞。
SharePoint 与 Office 面临威胁
目前最紧迫的问题之一是 Microsoft SharePoint Server 中的一个零日漏洞（编号 CVE-2026-32201）。该漏洞目前正处于被积极利用的状态。
微软在安全公告中指出：“Microsoft Office SharePoint 中的输入验证不当，允许未经授权的攻击者通过网络进行欺骗攻击。”微软还提到，攻击者可能会查看敏感信息或篡改已披露的数据，但无法限制资源可用性。
目前，微软尚未透露攻击者的身份或这些漏洞的具体利用手段。
另一个零日漏洞（CVE-2026-33825）涉及 Microsoft Defender 中的权限提升漏洞。该漏洞允许攻击者获取 SYSTEM 权限级别。微软已发布 Microsoft Defender 反恶意软件平台（版本 4.18.26050.3011）的更新以修复此问题。
来自华中科技大学（HUST）的安全研究员 Zen Dodd 和 Yuanpei Xu 通过 Diffract 工具发现了该 Defender 漏洞。用户可以通过 Windows 安全界面的“保护更新”选项手动触发修复。
除了 SharePoint 和 Defender 之外，此次更新还修复了 Microsoft Office 中的多个远程代码执行漏洞，特别影响 Word 和 Excel。这些漏洞可以通过预览窗格或打开恶意附件来触发。BleepingComputer 建议用户应立即优先完成 Office 的更新。
本月，其他主要科技厂商也发布了安全补丁。Adobe 更新了包括 Acrobat 和 Photoshop 在内的多款创意套件应用，以修复 Reader 中一个正被利用的零日漏洞。与此同时，Apache 修复了 ActiveMQ Classic 中的一个远程代码执行漏洞，该漏洞此前已潜伏了长达13年之久。