保护客户与风险评估

今天，微软对Shadow Brokers公开披露的大量漏洞进行了分类处理。客户对此披露可能带来的风险表示担忧，这是可以理解的。我们的工程师已经调查了这些披露的漏洞，其中大多数漏洞已被修补。以下是我们的调查更新。

当潜在漏洞被报告给微软时，无论是来自内部还是外部来源，微软安全响应中心（MSRC）都会立即启动全面调查。我们努力迅速验证这些报告，并确保修复那些使客户面临风险的合法、未解决的漏洞。一旦验证通过，工程团队会优先尽快修复报告的问题，考虑修复受影响产品或服务及其版本所需的时间，以及客户面临的潜在威胁和利用可能性。

披露的大多数漏洞属于我们受支持产品中已修补的漏洞。以下是已确认通过更新解决的漏洞列表。我们鼓励客户确保他们的计算机是最新的。

在剩余的三个漏洞中，“EnglishmanDentist”（CVE-2017-8487）、“EsteemAudit”（CVE-2017-0176）和“ExplodingCan”（CVE-2017-7269），没有一个在受支持的平台上重现，这意味着运行Windows 7及更高版本Windows或Exchange 2010及更新版本Exchange的客户不会面临风险。我们鼓励仍运行这些产品旧版本的客户升级到受支持的版本。

我们长期支持协同漏洞披露，作为确保客户和计算生态系统保持保护的最有效手段。这种协作方法使我们能够全面理解问题，并在客户因攻击方法的公开披露而面临风险之前提供保护。我们与全球的安全研究人员密切合作，他们通过secure@microsoft.com私下报告问题。我们还为许多报告的漏洞提供漏洞赏金，以鼓励研究人员负责任地披露。

Phillip Misner，首席安全组经理，微软安全响应中心

2017年6月13日更新：今天对此博客进行了更新，以提供作为2017年6月更新星期二发布的一部分发布的额外更新的CVE编号。有关此发布的更多信息，请访问MSRC博客“2017年6月安全更新发布”。