CVE-2026-21509 Office Kill-Bit 管理器

用于检查、应用和测试针对 CVE-2026-21509 Microsoft Office 零日漏洞（影响 Office 2016/2019/LTSC）的 Kill-Bit 保护的 PowerShell 脚本。

什么是 CVE-2026-21509？

Microsoft Office OLE/COM 处理中的严重 RCE 漏洞（CVSS 9.8）。已被 APT28（Fancy Bear）通过恶意 RTF/DOC 文件积极利用，针对 Shell.Explorer COM 对象 {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}。

受影响版本：Office 2016、2019、LTSC 2021/2024、Microsoft 365 应用（2026 年 1 月 26 日之前的补丁）

功能

前提条件

• Windows 10/11 并安装 Office 2016+
• PowerShell 5.1+（内置）
• 管理员权限（注册表操作必需）

安装

1. 下载 CVE-2026-21509.ps1
2. 右键单击 → "使用 PowerShell 运行"（以管理员身份）
3. 菜单驱动 - 无需参数

使用方法

=== CVE-2026-21509 Office Kill-Bit 管理 ===

  ░█▀▀░█░█░█▀▀░░░░░▀▀▄░▄▀▄░▀▀▄░▄▀▀░░░░░▀▀▄░▀█░░█▀▀░▄▀▄░▄▀▄
  ░█░░░▀▄▀░█▀▀░▄▄▄░▄▀░░█/█░▄▀░░█▀▄░▄▄▄░▄▀░░░█░░▀▀▄░█/█░░▀█
  ░▀▀▀░░▀░░▀▀▀░░░░░▀▀▀░░▀░░▀▀▀░░▀░░░░░░▀▀▀░▀▀▀░▀▀░░░▀░░▀▀░
  
  名称: CVE-2026-21509.ps1
  ====================================================="

1. 检查 Kill-Bit 状态        [建议首先执行]
2. 应用 Kill-Bit 保护    [如果缺失]
3. 使用测试 COM 文件验证     [确认保护生效]
4. 移除 Kill-Bit（还原）    [官方补丁安装后]
5. 检查 KB 更新             [补丁状态]
0. 退出

快速入门工作流程

# 1. 检查状态
选项 1 → "Kill-Bit 缺失" = 存在漏洞！

# 2. 应用保护  
选项 2 → "已保护！已修补 2 个注册表项"

# 3. 使用测试文件验证
选项 3 → 创建测试 RTF → 在 Word 中打开
✓ Kill-Bit 生效 = "无法激活对象"
✗ 存在漏洞 = 对象加载成功

测试文件结果

KB 补丁

选项 5 通过 Get-HotFix 显示安装状态。

注册表位置

64 位 Office：

HKLM\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}
"Compatibility Flags" = dword:00000400

32 位 Office：

HKLM\SOFTWARE\WOW6432Node\Microsoft\Office\16.0\...

故障排除

安全说明

• Kill-Bit 仅阻止此 CLSID - 不影响其他 Office 功能
• 官方补丁会自动设置/移除 Kill-Bit
• 测试文件是安全的 - 不包含可执行代码，仅包含 CLSID 引用
• 钓鱼攻击仍然危险 - 请保持受保护视图启用

修补后

1. ✅ 从 Windows 更新 / 更新目录 安装 KB5002694/95
2. ✅ 选项 4 → 移除 Kill-Bit（可选，补丁会自动处理）
3. ✅ 从 %TEMP% 删除测试文件

许可证

MIT 许可证 - 免费用于个人/商业用途。

免责声明

非 Microsoft 官方软件。使用风险自负。已在 Windows 10/11 和 Office 2016-2024 上测试。

⭐ 如果对你有帮助，请在 GitHub 上点赞！
🐛 遇到问题？ 提交 Issue

参考：
CISA KEV | MSRC | BornCity 博客