2025年7月安全更新综述

2025年7月8日 | Dustin Childs

每月第二个星期二，Adobe和微软如期发布了最新安全补丁。本文将详细分析这两家公司的安全更新内容。

Adobe 2025年7月补丁

本月Adobe共发布13个公告，修复了ColdFusion、After Effects等产品中的60个独特CVE漏洞：

• ColdFusion：优先级1的更新，修复13个CVE（5个关键级），建议考虑迁移到现代替代方案
• FrameMaker：修复15个CVE（13个可导致代码执行的关键漏洞）
• Illustrator：修复10个漏洞，最严重者可导致代码执行
• 其他产品：包括After Effects（2个重要漏洞）、Substance 3D Viewer（1关键+2重要漏洞）、InDesign（6个关键漏洞）等

所有漏洞在发布时均未被公开披露或检测到主动攻击。除ColdFusion外，所有更新部署优先级均为3级。

微软2025年7月补丁

微软本月共发布130个新CVE，涉及：

• Windows及组件
• Office及组件
• .NET和Visual Studio
• Azure
• Teams
• Hyper-V
• BitLocker
• Edge浏览器等

其中10个被评为关键级，120个为重要级。值得关注的高危漏洞包括：

关键漏洞

• CVE-2025-47981：SPNEGO扩展协商安全机制RCE漏洞（蠕虫级，最高可利用指数）
• CVE-2025-49717：SQL Server堆缓冲区溢出RCE（需更新OLE DB驱动）
• CVE-2025-49704：SharePoint RCE（源自Pwn2Own柏林比赛）
• CVE-2025-49695：Office RCE（连续第三个月出现关键级Office漏洞）

其他重要修复

• RRAS服务：14个远程代码执行漏洞
• BitLocker：5个安全功能绕过漏洞
• Hyper-V：本地代码执行漏洞
• Azure Monitor Agent：相邻网络RCE

完整CVE列表参见原文表格。

后续行动建议

1. 优先修复SPNEGO、SQL Server等关键漏洞
2. Office用户考虑禁用预览窗格
3. SQL Server管理员需手动更新OLE DB驱动
4. 关注8月12日的下一次补丁星期二更新

注意：部分漏洞修复需要额外管理操作，请仔细阅读各公告详情。