舊版Windows存在遠端桌面服務重大漏洞，微軟罕見修補XP、Server 2003

微軟發佈安全公告，警告舊版Windows包括桌機及伺服器版存在重大遠端程式碼執行漏洞，有引發類似WannaCry災難之虞，並罕見針對Windows XP、Server 2003釋出修補程式，並呼籲用戶儘速升級。

編號CVE-2019-0708的漏洞存在於舊版Windows遠端桌面服務（Remote Desktop Service, RDS）中，後者原本被稱為終端服務（Terminal Services），本漏洞可使未授權攻擊者得以利用RDP連上目標系統，傳送改造過的呼叫。遠端桌面協定（Remote Desktop Protocol, RDP）本身則未受影響。

CVE-2019-0708為一種預先驗證（pre-authentication）漏洞，不需使用者互動即可作用，成功開採者可於遠端執行任意程式碼、安裝惡意程式、讀取或刪改資料、或新開具完整權限的用戶帳號。微軟安全部門指出，作為預先驗證漏洞，意謂著CVE-2019-0708可被蠕蟲繁殖（wormable），也就是說任何開採本漏洞的惡意軟體，都可從一臺有漏洞的電腦複製擴散到其他電腦上，一如2017年殃及全球的WannaCry。微軟目前未觀察到任何開採情形，但駭客極可能針對它撰寫攻擊程式。

CVE-2019-0708影響的版本除了目前微軟還支援的Windows 7、Windows Server 2008 及2008 R2，更包括已經終止支援的Windows XP及Server 2003。但Windows 8和Windows 10系統則不受影響。

在所有版本Windows 上，本漏洞的CVSS Score v3風險評分皆為重大等級的9.8分（滿分10分），並且沒有權宜性（workarounds）的方法。上述版本軟體若有啟用網路層驗證（Network Level Authentication，NLA）或許可抵擋蠕蟲程式或進階威脅，但是如果攻擊者具備有效帳密，則仍然可成功驗證而於遠端執行惡意程式碼發動攻擊。因此，微軟強烈建議用戶應儘速安裝修補程式。

如果用戶Windows版本仍在支援中，可經由Windows自動更新機制或從微軟安全更新指南網頁下載更新。微軟還針對Windows XP（SP3 x86、商用版 x64 版 SP2、Embedded SP3 x86）、Server 2003（SP2 x86、x64 版 SP2）例外釋出KB4500705版本修補程式。