微软七月补丁周二修复130个漏洞
微软本月解决了130个独特的新通用漏洞披露（CVE），这是近期较大的补丁周二发布之一，但管理员无需处理紧迫的零日漏洞。
在新漏洞中，有14个CVE被评为严重级别，115个被评为重要级别，一个被评为中等级别。与往常一样，大多数漏洞存在于Windows操作系统中，同时还有影响Azure、Microsoft Office和Hyper-V的各种缺陷。微软还重新发布了七个CVE，并包含了对10个非微软产品的修复，包括影响Visual Studio中库的产品。SQL Server中有一个公开披露（CVE-2025-49719）。
Microsoft Office和RRAS漏洞优先处理
本月，管理员必须专注于快速发布Windows累积更新，特别是因为大量漏洞影响Windows路由和远程访问服务（RRAS），总共16个。所有RRAS CVE的最高严重性为重要级别，可利用性评估为不太可能被利用。
Windows Server中的RRAS处理公共和私有网络上的网络流量控制和远程连接，提供与多种VPN协议的兼容性并确保安全的远程访问。
大多数风险类型是远程代码执行，其中两个属于信息泄露威胁类别。
“Ivanti安全产品管理副总裁Chris Goettl表示：“这些漏洞都可以远程利用，无需通过网络进行身份验证。
他表示以下缓解措施可以遏制对RRAS的攻击：
- 将RRAS端口限制为受信任的网络或VPN集中器
- 对RRAS端口应用严格的防火墙规则
- 禁用RRAS中未使用的功能或确定是否可以完全删除该服务
Microsoft Office也有总共16个CVE，其中6个被评为严重级别，其余为重要级别。六个漏洞影响核心Microsoft Office平台，外加Excel中的两个、PowerPoint中的一个、SharePoint中的三个、Microsoft Word中的三个以及Microsoft Office开发者平台中的一个。
管理员应关注更可能被利用的CVE：
- CVE-2025-49695：Microsoft Office远程代码执行漏洞，CVSS 8.4，严重评级
- CVE-2025-49696：Microsoft Office远程代码执行漏洞，CVSS 8.4，严重评级
- CVE-2025-49701：Microsoft Office SharePoint远程代码执行漏洞，CVSS 8.8，重要评级
- CVE-2025-49704：Microsoft Office SharePoint远程代码执行漏洞，CVSS 8.8，严重评级
预览窗格是CVE-2025-49695和CVE-2025-49696的潜在攻击向量，这意味着用户只需预览恶意文件即可触发漏洞利用。
发布与Visual Studio相关的7个CVE补丁
与开发团队合作的管理员需要通过更新到最新版本的Visual Studio来解决七个与Git相关的漏洞——CVE-2025-27613、CVE-2025-27614、CVE-2025-46334、CVE-2025-46835、CVE-2025-48384、CVE-2025-48385和CVE-2025-48386。
根据Goettl的说法，定期更新这些第三方库对于防止安全债务的缓慢积累和维护服务级别协议的合规性至关重要。
“大多数开发组织，如果它们进行良好的CI/CD管道评估，将会在它们使用的第三方库和开发工具中看到漏洞，“他说。
Goettl表示，测试开发工具修复程序的方法取决于组织规模。较小的组织依赖于安装新库后的回归测试来运行验证检查。较大的组织通常使用分阶段推出，从低风险环境开始，然后再更新更关键的系统。
“与仅仅自动化处理操作系统更新和第三方更新的补丁管理过程相比，处理开发方面的工作量要大得多。需要更多的工作来验证一切正常，“Goettl说。
七月补周二的其他重要安全更新
两个与Azure相关的CVE只有在未启用自动更新功能时才需要管理员干预。Azure Service Fabric运行时权限提升漏洞（CVE-2025-21195）的CVSS评分为6.0。Azure Monitor Agent远程代码执行漏洞（CVE-2025-47988）的CVSS评分为7.5。
微软纠正了其六月补丁周二安全更新导致Windows Server动态主机配置协议（DHCP）问题的问题。受影响的Windows Server系统及其知识库文章包括Windows Server 2025（KB5060842）、Windows Server 2022（KB5060526）、Windows Server 2019（KB5060531）和Windows Server 2016（KB5061010）。DHCP自动为网络上的设备分配IP地址并管理IP地址租约。
微软重新发布了六月补丁周二的修复程序，针对.NET和Visual Studio远程代码执行漏洞（CVE-2025-30399），该修复已扩展至包括PowerShell 7.4和7.5。根据微软的安全公告，“攻击者可以通过将文件放置在特定位置来利用此漏洞，导致意外的代码执行”。该漏洞特别重要，因为它影响运行这些可利用PowerShell版本的Windows、macOS和Linux系统。
Kerberos强化过程的下一阶段生效
七月补丁周二还实施了改善Kerberos认证安全性的三阶段过程的下一阶段，以防止机器中间人攻击和本地网络欺骗。
在四月补丁周二，微软首次解决了Windows Server系统中的Windows Kerberos权限提升漏洞（CVE-2025-26647），并引入了审计模式以发现不合规的证书。预计管理员将使用审计日志查找这些证书，进行更正并检查问题。
七月补丁周二的发布向域控制器引入了第二阶段——默认强制执行。此更新使对NTAuth存储（Windows域控制器上包含受信任证书颁发机构列表的存储库）的检查成为强制性要求，但管理员可以暂时恢复为审计模式进行调整。
在十月补丁周二更新之后，微软将把域控制器置于强制执行模式，并移除启用这些注册表绕过的能力。
Tom Walat是Informa TechTarget的SearchWindowsServer网站的网站编辑。