微软禁用Win11/Server 2025自动安装功能应对高危RCE漏洞
该漏洞源于不当的访问控制机制,导致相邻网络中的未认证攻击者能够拦截敏感配置文件,并在基于网络的操作系统部署过程中执行任意代码。
免费影视、动漫、音乐、游戏、小说资源长期稳定更新! 👉 点此立即查看 👈
微软宣布将分两个阶段禁用 Windows 部署服务 (WDS) 中的无人值守部署功能。此前,该服务被发现存在编号为 CVE-2026-0386 的高危远程代码执行漏洞。

Windows 部署服务漏洞分析
该问题的根源在于 Windows 部署服务中存在不当的访问控制机制。这使得身处同一网段的未经验证攻击者能够截获包含敏感信息的配置文件,进而在通过网络部署操作系统的过程中植入并运行任意代码。Windows 部署服务是 IT 管理员通过网络远程部署 Windows 操作系统的服务器角色,通常借助 PXE(预启动执行环境)技术进行引导。
该服务的核心功能——无人值守部署——依赖于 Unattend.xml 应答文件来自动化安装界面(包括凭证输入)的配置,无需人工干预。此项功能在企业环境中被广泛用于高效部署大批量设备。
2026年1月13日披露的 CVE-2026-0386 描述了 WDS 中存在的不当访问控制问题(CWE-284),其根源在于 Unattend.xml 文件通过未经身份验证的 RPC 通道进行传输。由于应答文件通过未经认证的 RemoteInstall 共享暴露,同一网段的攻击者可以截获该文件、窃取其中嵌入的凭据,或在部署过程中注入恶意代码。
安全研究人员指出,成功利用该漏洞可获得 SYSTEM 级权限,实现域内横向移动,甚至允许攻击者污染操作系统部署镜像,使其成为企业数据中心所面临的供应链级风险。微软确认该漏洞 CVSS v3.1 评分为 AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H,在机密性、完整性和可用性方面均具有高危影响。
受影响的 Windows Server 版本涵盖从 Server 2008 到 Server 2025 的所有版本,包括 Windows Server 2016、2019、2024 及 23H2 版本。
两阶段加固时间表
微软将分两个阶段推出缓解措施:
第一阶段——2026年1月13日:无人值守部署功能仍可使用但可显式禁用。新增事件日志告警和注册表键控制,管理员可通过设置 HKLMSYSTEMCurrentControlSetServicesWdsServerProvidersWdsImgSrvUnattend 下的 AllowHandsFreeFunctionality = 0 来强制执安全行为。 第二阶段——2026年4月:无人值守部署功能将默认完全禁用。在2026年1月至4月期间未应用任何注册表配置的管理员将在4月安全更新后发现该功能被自动禁用。管理员应对建议
必须使用该功能的管理员可通过设置 AllowHandsFreeFunctionality = 1 临时重新启用,但微软明确警告这不是安全配置,仅应作为短期过渡方案。建议管理员:
立即检查所有使用 Unattend.xml 的 WDS 配置安装2026年1月13日或之后的 Windows 安全更新在2026年4月前设置 AllowHandsFreeFunctionality = 0 强制执安全行为通过事件查看器监控不安全的 unattend.xml 访问告警迁移至不受该漏洞影响的替代部署方案,如 Microsoft Intune、Windows Autopilot 或 Microsoft Configuration Manager微软知识库文章 KB5074952 为受影响组织提供了完整指导和注册表详情。微软敦促管理员在 2026 年 4 月前采取行动,以避免部署流程中断。
相关攻略
该漏洞编号为(CVE-2026-5281),是Dawn Chrome跨平台GPU抽象层(用于实现WebGPU)中的释放后使用(use-after-free)漏洞。 谷歌已为其Chrome浏览器发布紧
这一发现标志着漏洞挖掘领域的重大范式转变,证明 AI 模型能够通过简单的自然语言提示,在传统软件中发现关键漏洞。 Anthropic 公司的 Claude AI 成功发现了 Vim 和 GNU Em
Ubuntu 安全团队在公开发布前通过将 Ubuntu 25 10 的默认 rm 命令恢复为 GNU coreutils 缓解了风险,上游修复已应用于 uutils 代码库。 漏洞概述Ubuntu
身份与访问管理无法单独识别冒牌IT人员。如本例所示,发现朝鲜内鬼需整合多重信号。 朝鲜IT冒牌员工计划已成为跨行业重大威胁。尽管最佳实践强调招聘阶段的防范措施,但一旦这类人员入职,往往难以察觉。近期
该漏洞源于不当的访问控制机制,使得相邻网络中的未认证攻击者能够拦截敏感配置文件,并在基于网络的操作系统部署过程中执行任意代码。 微软宣布将分两个阶段禁用Windows部署服务(WDS)中的无人值守部
热门专题
热门推荐
介绍信作为一种正式文书,在各类行政与商务场景中发挥着关键作用。尤其在办理社保业务时,一份格式规范、信息准确的单位介绍信,能够有效证明经办人身份,确保流程顺畅。为了帮助您高效处理社保相关事宜,我们精心整理了几份经过验证的社保单位介绍信标准模板,可直接套用,助您快速完成办理。 社保单位介绍信模板范文(1
在办理各类公务对接、实习就业或商务合作时,一份正式规范的单位介绍信是证明身份、建立信任、开启流程的关键文件。为了帮助您快速高效地完成文书准备,我们特别整理了三份通用的企业工作介绍信标准模板。这些模板格式严谨、用语专业,您只需根据具体需求填充信息,即可直接使用,有效提升办事效率。 企业工作介绍信模板(
在处理户口迁移等正式事务时,一份规范的单位介绍信是必不可少的证明文件,它如同个人身份的“官方凭证”,能有效对接派出所等户籍管理部门。为了帮助您高效、准确地准备材料,我们精心整理了几份经过验证的《迁户口单位介绍信》标准模板,并附上关键填写要点,供您直接套用或参考。 迁户口单位介绍信模板(1):企业员工
在办理涉及政府部门、人才中心或档案管理机构的相关业务时,一份规范、正式的单位提档介绍信是必不可少的核心文件。它不仅满足了办事流程的硬性要求,更是对经办人员身份与权限的权威证明。为了帮助您高效、准确地完成档案调取工作,我们精心整理并提供了以下几款实用且规范的单位提档介绍信模板范文,适用于不同场景,供您
医院看病介绍信模板(1):通用转诊介绍信 致________医院负责同志: 兹介绍我单位(或辖区)患者_______等___名同志,前往贵院联系关于_________病情的后续诊断与治疗事宜。患者病情需贵院专家进一步评估,恳请予以接洽并安排。 病情详细介绍: 本介绍信有效期截止于 年 月 日。 (单





