微软在本月补丁星期二发布了130个全新CVE漏洞修复——这是近期规模较大的一次更新——但管理员无需处理紧急的零日漏洞。
在新漏洞中，14个被评级为严重，115个为重要，1个为中等。与往常一样，大多数漏洞存在于Windows操作系统中，同时涉及Azure、Microsoft Office和Hyper-V的混合型缺陷。微软还重新发布了7个CVE，并包含10个非微软产品的修复，包括影响Visual Studio库的漏洞。SQL Server中存在一个公开披露漏洞（CVE-2025-49719）。
Microsoft Office和RRAS漏洞需优先处理 本月，管理员必须重点关注快速发布Windows累积更新，特别是因为大量漏洞影响Windows路由和远程访问服务，总数达16个。所有RRAS CVE的最高严重等级为重要，且被评估为不太可能被利用。
Windows Server中的RRAS负责处理公共和私有网络上的网络流量控制与远程连接，提供多种VPN协议兼容性并确保安全的远程访问。
大多数风险类型为远程代码执行，其中两个属于信息泄露威胁类别。
“这些漏洞均可通过网络远程利用，且无需身份验证，”Ivanti安全产品管理副总裁Chris Goettl表示。
他提出以下缓解措施可遏制对RRAS的攻击：
- 将RRAS端口限制为受信任网络或VPN集中器
- 对RRAS端口应用严格的防火墙规则
- 禁用RRAS中未使用的功能，或确定是否可以完全移除该服务
Microsoft Office同样存在16个CVE，其中6个评级为严重，其余为重要。六个漏洞影响核心Microsoft Office平台，另有两个影响Excel，一个影响PowerPoint，三个影响SharePoint，三个影响Microsoft Word，一个影响Microsoft Office开发者平台。
管理员应重点关注更可能被利用的CVE：
- CVE-2025-49695：Microsoft Office远程代码执行漏洞，CVSS 8.4，严重评级
- CVE-2025-49696：Microsoft Office远程代码执行漏洞，CVSS 8.4，严重评级
- CVE-2025-49701：Microsoft Office SharePoint远程代码执行漏洞，CVSS 8.8，重要评级
- CVE-2025-49704：Microsoft Office SharePoint远程代码执行漏洞，CVSS 8.8，严重评级
预览窗格是CVE-2025-49695和CVE-2025-49696的潜在攻击向量，这意味着用户仅需预览恶意文件即可触发漏洞利用。
发布7个Visual Studio相关CVE补丁 负责开发团队的管理员需要通过更新至最新版Visual Studio来解决七个与Git相关的漏洞（CVE-2025-27613、CVE-2025-27614、CVE-2025-46334、CVE-2025-46835、CVE-2025-48384、CVE-2025-48385和CVE-2025-48386）。
Goettl指出，定期更新这些第三方库对于防止安全债务缓慢累积和维护服务级别协议合规性至关重要。
“大多数开发组织如果进行良好的CI/CD管道评估，都会发现他们使用的第三方库和开发工具中存在漏洞，”他表示。
Goettl称测试开发工具修复程序的方法取决于组织规模。小型组织依赖安装新库后的回归测试来运行验证检查。大型组织通常采用分阶段部署，从低风险环境开始更新，再处理更关键的系统。
“与处理操作系统更新和第三方更新的自动化补丁管理流程相比，开发侧的验证工作更为繁重，需要更多精力来确认一切正常，”Goettl强调。
7月补丁星期二其他重要安全更新
- 两个Azure相关CVE仅在未启用自动更新功能时需要管理员干预。Azure Service Fabric运行时权限提升漏洞（CVE-2025-21195）CVSS评分为6.0。Azure Monitor Agent远程代码执行漏洞（CVE-2025-47988）CVSS评分为7.5
- 微软修正了6月补丁星期二安全更新导致的Windows Server动态主机配置协议问题。受影响的Windows Server系统及其知识库文章包括：Windows Server 2025（KB5060842）、Windows Server 2022（KB5060526）、Windows Server 2019（KB5060531）和Windows Server 2016（KB5061010）。DHCP自动为网络设备分配IP地址并管理IP地址租约
- 微软重新发布了6月补丁星期二对.NET和Visual Studio远程代码执行漏洞（CVE-2025-30399）的修复，扩展至包含PowerShell 7.4和7.5。根据微软安全公告，“攻击者可通过将文件放置在特定位置来利用此漏洞，导致意外代码执行”。该漏洞特别重要，因为它影响运行这些可利用PowerShell版本的Windows、macOS和Linux系统
Kerberos强化进程进入新阶段 7月补丁星期二还实施了改善Kerberos认证安全性的三阶段进程的下一步，旨在防止中间人攻击和本地网络欺骗。
在4月补丁星期二，微软首次解决了Windows Server系统中的Windows Kerberos权限提升漏洞（CVE-2025-26647），并引入审计模式以发现不合规证书。管理员需使用审计日志查找这些证书，进行修正并检查问题。
7月补丁星期二发布的第二阶段“默认强制”已应用于域控制器。此更新强制检查NTAuth存储——Windows域控制器上包含受信任证书颁发机构列表的存储库——但管理员可暂时恢复至审计模式进行调整。
10月补丁星期二更新后，微软将把域控制器置于强制模式，并取消启用这些注册表绕过功能的能力。