> **摘要**: 2026 年 6 月 9 日，微软发布 6 月补丁星期二更新，一次性修复 206 个微软原生漏洞，创下历史纪录。其中 CVE-2026-45657（CVSS 9.8）是 Windows 内核 TCP/IP 栈中的释放后重用漏洞，具备可蠕虫化远程代码执行能力，潜在破坏力堪比 2017 年的 EternalBlue（永恒之蓝）。公网暴露的 Windows 11/Server 2022/2025 服务器面临最高风险。本文深入分析漏洞根因、攻击场景，并提供从检测到修复的完整指南。


## 1. 漏洞全景概览

### 1.1 漏洞速览

| 项目 | 详情 |
|------|------|
| **CVE 编号** | CVE-2026-45657 |
| **发布日期** | 2026 年 6 月 9 日 |
| **影响组件** | Windows 内核 TCP/IP 协议栈 |
| **漏洞类型** | 释放后重用（UAF）→ 远程代码执行 |
| **CVSS 评分** | 9.8（Critical） |
| **攻击向量** | 网络（无需认证） |
| **可蠕虫化** | 是——可自动传播 |
| **影响系统** | Windows 11、Windows Server 2022/2025 |
| **补丁状态** | 已发布（6 月补丁星期二） |
| **在野利用** | 暂无确认 |

### 1.2 6 月补丁星期二全景

2026 年 6 月补丁星期二创下历史纪录：

| 维度 | 数据 |
|------|------|
| 微软原生漏洞 | 206 个（历史最高） |
| 第三方组件漏洞 | 362 个（Chromium 等） |
| 总漏洞量 | 571 个 |
| 严重级漏洞 | 39 个 |
| 远程代码执行 | 56 个 |
| 公开零日漏洞 | 3 个 |
| 高利用可能性 | 15 个 |

### 1.3 漏洞核心特征

![036-cve-2026-45657-windows-tcpip-wormable-rce-fix-guide 图 1](https://developer.qcloudimg.com/http-save/yehe-2059497/4482cba384fde3d69211c6a297062d3f.png)


## 2. 漏洞根因分析

### 2.1 Windows TCP/IP 栈背景

Windows 内核 TCP/IP 协议栈（`tcpip.sys`）是 Windows 网络通信的核心组件，负责处理所有入站和出站的 TCP/IP 数据包。它运行在内核态，任何漏洞都可能导致内核级代码执行。

### 2.2 释放后重用根因

CVE-2026-45657 的根因在于 TCP/IP 栈在处理特定网络数据包序列时，对网络连接关联的数据结构进行了提前释放，但后续操作仍引用了已释放的内存。

```c
// 漏洞版本简化示意（tcpip.sys）
NTSTATUS TcpipProcessPacket(IN PNET_BUFFER_LIST NetBufferList)
{
    // 获取连接对象
    PTCP_CONNECTION conn = TcpipFindConnection(NetBufferList);

    // 处理 TCP 状态机
    if (conn->state == TCP_TIME_WAIT) {
        // 连接进入 TIME_WAIT 状态
        // 漏洞点：在特定条件下
        // 连接对象被提前释放
        TcpipFreeConnection(conn);
        // conn 指针现在指向已释放的内存

        // 但后续代码仍使用 conn 指针
        // 处理后续数据包时访问已释放内存
        TcpipProcessData(conn, NetBufferList);  // UAF！
    }

    return STATUS_SUCCESS;
}
```

### 2.3 可蠕虫化分析

> 可蠕虫化意味着漏洞可以像蠕虫一样自动传播——攻击者无需用户交互，只需发送特制网络数据包即可感染目标，然后被感染的目标继续扫描和攻击其他系统。这与 2017 年 WannaCry 使用的 EternalBlue 漏洞类似。

![036-cve-2026-45657-windows-tcpip-wormable-rce-fix-guide 图 2](https://developer.qcloudimg.com/http-save/yehe-2059497/995d62fd3f9f4cb324858bb90d392418.png)

### 2.4 攻击链分析

![036-cve-2026-45657-windows-tcpip-wormable-rce-fix-guide 图 3](https://developer.qcloudimg.com/http-save/yehe-2059497/0294c3bc3072610cc1cc4c2f8a9f97eb.png)


## 3. 攻击场景复现

### 3.1 攻击前提条件

```markdown
攻击门槛：
- 目标系统为 Windows 11 / Server 2022 / 2025
- 目标系统未安装 6 月补丁
- 目标系统的 TCP/IP 端口可达（任何端口均可触发）
- 无需用户交互
- 无需认证
```

### 3.2 影响评估

| 影响维度 | 评估 |
|---------|------|
| **机密性** | 严重——可读取所有系统数据 |
| **完整性** | 严重——可修改任意系统文件 |
| **可用性** | 严重——可导致系统崩溃或被勒索 |
| **攻击门槛** | 低——无需认证和用户交互 |
| **传播能力** | 高——可蠕虫式自动传播 |
| **历史类比** | 2017 EternalBlue（WannaCry） |

### 3.3 高风险场景

```markdown
高风险环境：
1. 公网暴露的 Windows 服务器（RDP/SMB/IIS）
2. DMZ 区域的 Windows 服务器
3. 混合云环境中的 Windows 实例
4. 未及时更新补丁的企业内网
5. 工业控制系统（ICS）中的 Windows 主机
```


## 4. 修复方案

### 4.1 安装 6 月补丁

> **Why**：这是唯一彻底的修复方式。微软已在 6 月补丁星期二中发布了修复。

```powershell
# 方式1：通过 Windows Update
# 设置 → 更新和安全 → Windows 更新 → 检查更新

# 方式2：通过 PowerShell
Install-Module PSWindowsUpdate -Force
Import-Module PSWindowsUpdate
Get-WindowsUpdate -Install -AcceptAll -AutoReboot

# 方式3：通过命令行（离线环境）
# 下载补丁包
# https://catalog.update.microsoft.com/
# 搜索 KB5061080（Windows 11）或对应 KB 编号

# 安装补丁
wusa.exe KB5061080.msu /quiet /norestart

# 验证补丁安装
wmic qfe list brief /format:table | findstr "KB5061080"
```

### 4.2 临时缓解措施

#### 禁用 SMBv1

```powershell
# 检查 SMBv1 状态
Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

# 禁用 SMBv1（减少攻击面）
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart

# 验证
Get-SmbServerConfiguration | Select EnableSMB1Protocol
# 预期: False
```

#### 防火墙限制

```powershell
# 限制入站连接
# 仅允许必要的端口

# 阻止 SMB（如果不需要）
New-NetFirewallRule -Name "Block-SMB-In" `
    -DisplayName "Block SMB Inbound" `
    -Direction Inbound `
    -Protocol TCP `
    -LocalPort 445 `
    -Action Block `
    -Profile Any

# 阻止 RDP（如果不需要）
New-NetFirewallRule -Name "Block-RDP-In" `
    -DisplayName "Block RDP Inbound" `
    -Direction Inbound `
    -Protocol TCP `
    -LocalPort 3389 `
    -Action Block `
    -Profile Any

# 限制 RPC 动态端口范围
Set-NetTCPSetting -DynamicPortRangeStartPort 49152 `
                   -DynamicPortRangeNumberOfPorts 16384
```

#### 网络分段

```powershell
# 使用 Windows Defender Firewall 限制内网通信
# 仅允许必要的通信

# 创建隔离规则
New-NetFirewallRule -Name "Isolate-DMZ" `
    -DisplayName "Isolate DMZ from Internal" `
    -Direction Inbound `
    -RemoteAddress 10.0.0.0/8 `
    -Action Block `
    -Profile Domain

# 允许特定管理主机
New-NetFirewallRule -Name "Allow-Admin-Access" `
    -DisplayName "Allow Admin Access" `
    -Direction Inbound `
    -RemoteAddress 10.0.1.100 `
    -Action Allow `
    -Profile Domain
```

### 4.3 服务器环境修复

```powershell
# 批量更新多台服务器
$servers = @("server1", "server2", "server3")

foreach ($server in $servers) {
    Write-Host "Updating $server..."

    # 远程检查补丁状态
    Invoke-Command -ComputerName $server -ScriptBlock {
        $hotfix = Get-HotFix | Where-Object { $_.HotFixID -eq "KB5061080" }
        if ($hotfix) {
            Write-Host "$env:COMPUTERNAME: 已安装补丁"
        } else {
            Write-Host "$env:COMPUTERNAME: 未安装补丁，需要更新"
            # 触发 Windows Update
            Install-Module PSWindowsUpdate -Force
            Import-Module PSWindowsUpdate
            Get-WindowsUpdate -Install -AcceptAll -AutoReboot
        }
    }
}
```

### 4.4 云环境修复

| 云平台 | 操作 |
|--------|------|
| **AWS EC2** | Systems Manager → Patch Manager → 部署补丁基线 |
| **Azure VM** | 更新管理 → 部署更新 → 选择 6 月补丁 |
| **阿里云 ECS** | 云安全中心 → 漏洞修复 → 选择 CVE-2026-45657 |
| **腾讯云 CVM** | 主机安全 → 漏洞扫描 → 一键修复 |


## 5. 深度加固方案

### 5.1 Windows 服务器安全加固清单

```markdown
补丁管理：
- [ ] 安装 6 月补丁星期二所有更新
- [ ] 启用自动更新（或配置 WSUS）
- [ ] 定期检查补丁状态
- [ ] 建立补丁测试流程

网络加固：
- [ ] 禁用 SMBv1
- [ ] 限制入站端口
- [ ] 配置防火墙规则
- [ ] 实施网络分段
- [ ] 限制 RPC 端口范围

认证加固：
- [ ] 启用 Windows Defender Credential Guard
- [ ] 配置账户锁定策略
- [ ] 禁用本地管理员账户
- [ ] 使用 LAPS 管理本地密码

监控加固：
- [ ] 启用 Windows 事件转发（WEF）
- [ ] 配置 SIEM 告警
- [ ] 监控异常网络连接
- [ ] 监控异常进程创建
```

### 5.2 组策略加固

```powershell
# 导入安全模板
# 使用 secedit 配置安全策略

# 账户锁定策略
secedit /configure /db secedit.sdb /cfg security_template.inf

# security_template.inf 关键配置
"""
[System Access]
MinimumPasswordLength = 14
PasswordComplexity = 1
MaximumPasswordAge = 30
LockoutBadCount = 3
LockoutDuration = 30
RequireLogonToChangePassword = 0

[Registry Values]
# 禁用 SMBv1
MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters\SMB1 = 4,0

# 启用 SMB 签名
MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters\RequireSecuritySignature = 4,1

# 禁用匿名访问
MACHINE\System\CurrentControlSet\Control\Lsa\RestrictAnonymous = 4,1
"""
```

### 5.3 监控告警配置

```powershell
# Windows 事件监控脚本
# 监控可能的 CVE-2026-45657 利用

# 1. 监控 tcpip.sys 相关崩溃
Get-WinEvent -FilterHashtable @{
    LogName = 'System'
    ProviderName = 'Microsoft-Windows-WER-SystemErrorReporting'
    StartTime = (Get-Date).AddHours(-24)
} | Where-Object { $_.Message -match 'tcpip.sys' }

# 2. 监控异常网络连接
Get-NetTCPConnection | Where-Object {
    $_.State -eq 'Established' -and
    $_.RemoteAddress -notmatch '^(10\.|172\.(1[6-9]|2[0-9]|3[01])\.|192\.168\.|127\.)'
} | Select-Object LocalAddress, LocalPort, RemoteAddress, RemotePort

# 3. 监控异常进程创建
Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 4688
    StartTime = (Get-Date).AddHours(-1)
} | Where-Object {
    $_.Properties[5].Value -match 'powershell|cmd|wscript|cscript'
} | Select-Object TimeCreated, @{N='Process';E={$_.Properties[5].Value}}
```

### 5.4 SIEM 告警规则

```sql
-- Splunk/ELK 告警规则：检测 CVE-2026-45657 利用

-- 规则1：tcpip.sys 相关的蓝屏崩溃
index=windows source="WinEventLog:System"
(EventCode=1001 OR EventCode=6008)
"tcpip.sys"
| stats count by host
| where count > 3
| alert

-- 规则2：异常的入站连接激增
index=network sourcetype=firewall
action=allowed direction=inbound
| stats count by src_ip dest_port
| where count > 100
| alert

-- 规则3：可疑的内核模式进程注入
index=windows source="WinEventLog:Security"
EventCode=4688
(NewProcessName="*\\powershell.exe" OR NewProcessName="*\\cmd.exe")
ParentProcessName="*\\services.exe"
| alert
```


## 6. 验证修复效果

### 6.1 修复验证检查表

| 检查项 | 验证方法 | 预期结果 |
|--------|---------|---------|
| 补丁安装 | `wmic qfe list \| findstr KB5061080` | 已安装 |
| SMBv1 状态 | `Get-SmbServerConfiguration \| Select EnableSMB1Protocol` | False |
| 防火墙状态 | `Get-NetFirewallProfile \| Select Name,Enabled` | 全部 Enabled |
| 系统版本 | `winver` | 最新版本 |
| 蓝屏日志 | 事件查看器 → 系统 | 无 tcpip.sys 崩溃 |

### 6.2 自动化验证脚本

```powershell
# verify_windows_fix.ps1 - 验证 Windows 修复效果

Write-Host "=== Windows 安全修复验证 ===" -ForegroundColor Cyan

# 1. 验证补丁安装
Write-Host -NoNewline "1. 6月补丁状态: "
$patch = Get-HotFix | Where-Object { $_.HotFixID -eq "KB5061080" }
if ($patch) {
    Write-Host "PASS (已安装 $($patch.HotFixID))" -ForegroundColor Green
} else {
    Write-Host "FAIL (未安装)" -ForegroundColor Red
}

# 2. 验证 SMBv1 状态
Write-Host -NoNewline "2. SMBv1 状态: "
$smb1 = Get-SmbServerConfiguration | Select -ExpandProperty EnableSMB1Protocol
if ($smb1 -eq $false) {
    Write-Host "PASS (已禁用)" -ForegroundColor Green
} else {
    Write-Host "FAIL (仍启用)" -ForegroundColor Red
}

# 3. 验证防火墙状态
Write-Host -NoNewline "3. 防火墙状态: "
$fw = Get-NetFirewallProfile | Select Name, Enabled
$allEnabled = ($fw | Where-Object { $_.Enabled -eq $false }).Count -eq 0
if ($allEnabled) {
    Write-Host "PASS (全部启用)" -ForegroundColor Green
} else {
    Write-Host "FAIL (部分未启用)" -ForegroundColor Red
}

# 4. 检查蓝屏日志
Write-Host -NoNewline "4. tcpip.sys 崩溃检查: "
$crashes = Get-WinEvent -FilterHashtable @{
    LogName = 'System'
    StartTime = (Get-Date).AddDays(-7)
} -ErrorAction SilentlyContinue | Where-Object {
    $_.Message -match 'tcpip.sys'
}
if ($crashes.Count -eq 0) {
    Write-Host "PASS (无崩溃)" -ForegroundColor Green
} else {
    Write-Host "WARN (发现 $($crashes.Count) 次崩溃)" -ForegroundColor Yellow
}

# 5. 检查系统版本
Write-Host -NoNewline "5. 系统版本: "
$os = Get-CimInstance Win32_OperatingSystem
Write-Host $os.Caption -ForegroundColor White

Write-Host "=== 验证完成 ===" -ForegroundColor Cyan
```


## 7. 踩坑指南

### 坑1：安装补丁后服务器蓝屏

**现象**：安装 6 月补丁后，服务器频繁蓝屏。

**根因**：补丁可能与某些驱动程序或第三方软件冲突。

**解决**：

```powershell
# 卸载有问题的补丁
wusa.exe /uninstall /kb:5061080 /quiet /norestart

# 分析蓝屏转储
# 下载 Windows Debugging Tools
# 分析 minidump
kd -z C:\Windows\Minidump\*.dmp
```

### 坑2：补丁安装失败

**现象**：补丁安装报错 0x80070002。

**根因**：Windows Update 组件损坏。

**解决**：

```powershell
# 重置 Windows Update 组件
Stop-Service -Name wuauserv -Force
Stop-Service -Name cryptSvc -Force
Stop-Service -Name bits -Force
Stop-Service -Name msiserver -Force

# 重命名更新目录
Rename-Item C:\Windows\SoftwareDistribution SoftwareDistribution.old
Rename-Item C:\Windows\System32\catroot2 catroot2.old

# 重启服务
Start-Service -Name wuauserv
Start-Service -Name cryptSvc
Start-Service -Name bits
Start-Service -Name msiserver

# 重新尝试安装
Get-WindowsUpdate -Install -AcceptAll
```

### 坑3：云服务器无法自动更新

**现象**：云上的 Windows 服务器无法通过 Windows Update 获取补丁。

**根因**：云平台可能使用自定义的更新源。

**解决**：通过云平台控制台手动安装补丁，或使用云平台提供的补丁管理工具。


## 8. 总结

### 核心要点

1. **CVE-2026-45657**：Windows 内核 TCP/IP 栈 UAF 漏洞，CVSS 9.8，可蠕虫化
2. **历史意义**：6 月补丁星期二创纪录的 206 个漏洞，此为最危险的一个
3. **影响范围**：Windows 11、Server 2022/2025，公网暴露服务器风险最高
4. **修复方案**：安装 6 月补丁星期二更新
5. **临时缓解**：禁用 SMBv1、限制防火墙、网络分段
6. **长期加固**：建立补丁管理流程、网络分段、监控告警

### 修复优先级

```markdown
P0（24小时内）：
- 公网暴露的 Windows 服务器
- DMZ 区域的 Windows 服务器
- Windows Server 2022/2025

P1（72小时内）：
- 内网 Windows 服务器
- Windows 11 工作站
- 混合云环境

P2（1周内）：
- 所有 Windows 系统统一更新
- 建立补丁管理流程
- 部署网络分段方案
- 建立 SIEM 监控体系
```

### 与 EternalBlue 的对比

| 维度 | EternalBlue (CVE-2017-0144) | CVE-2026-45657 |
|------|------------------------------|----------------|
| CVSS | 8.1 | 9.8 |
| 漏洞类型 | SMBv1 缓冲区溢出 | TCP/IP 栈 UAF |
| 影响组件 | SMB 服务 | TCP/IP 协议栈 |
| 攻击端口 | 445 (SMB) | 任意 TCP/IP 端口 |
| 蠕虫化 | 是（WannaCry） | 是（潜在） |
| 影响系统 | Windows XP-2016 | Windows 11/Server 2022+ |
| 修复方式 | MS17-010 补丁 | 6 月补丁星期二 |

### 参考资源

- 微软 6 月补丁星期二公告<https://msrc.microsoft.com/update-guide/releaseNote/2026-Jun>
- CVE-2026-45657 详情<https://www.cve.org/CVERecord?id=CVE-2026-45657>
- CISA KEV 目录<https://www.cisa.gov/known-exploited-vulnerabilities>
- Microsoft Security Response Center<https://msrc.microsoft.com/>

摘要: 2026 年 6 月 9 日，微软发布 6 月补丁星期二更新，一次性修复 206 个微软原生漏洞，创下历史纪录。其中 CVE-2026-45657（CVSS 9.8）是 Windows 内核 TCP/IP 栈中的释放后重用漏洞，具备可蠕虫化远程代码执行能力，潜在破坏力堪比 2017 年的 EternalBlue（永恒之蓝）。公网暴露的 Windows 11/Server 2022/2025 服务器面临最高风险。本文深入分析漏洞根因、攻击场景，并提供从检测到修复的完整指南。

【Windows安全】CVE-2026-45657: Windows 内核 TCP/IP 可蠕虫远程代码执行漏洞修复指南

2026 年 6 月 9 日，微软发布 6 月补丁星期二更新，一次性修复 206 个微软原生漏洞，创下历史纪录。其中 CVE-2026-45657（CVSS 9.8）是 Windows 内核 TCP/IP 栈中的释放后重用漏洞，具备可蠕虫化远程代码执行能力，潜在破坏力堪比 2017 年的 EternalBlue（永恒之蓝）。

安全

微软6月补丁修复206个漏洞创纪录，其中CVE-2026-45657为Windows TCP/IP栈释放后重用漏洞，CVSS 9.8，可蠕虫化远程代码执行，风险堪比永恒之蓝。公网暴露的Windows 11/Server 2022/2025服务器面临最高威胁，需立即安装补丁并采取缓解措施。

云安全中心

数据完整性

零日漏洞

云服务器

主机安全

代码解释

漏洞扫描

漏洞修复

数据结构

混合云

防火墙

云安全

服务器

Windows

4核4G3M云服务器 新用户低至38元/年！

腾讯云双十一大促

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

【Windows安全】CVE-2026-45657: Windows 内核 TCP/IP 可蠕虫远程代码执行漏洞修复指南-腾讯云开发者社区-腾讯云

【Windows安全】CVE-2026-45657: Windows 内核 TCP/IP 可蠕虫远程代码执行漏洞修复指南

【Windows安全】CVE-2026-45657: Windows 内核 TCP/IP 可蠕虫远程代码执行漏洞修复指南

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐