Microsoft 365 wyłączy ActiveX z powodu nadmiernego nadużywania przez hakerów

Pakiet Microsoft Office od lat obsługuje technologię ActiveX jako opcję rozszerzania i automatyzacji dokumentów, ale jest to również poważna luka w zabezpieczeniach. Teraz firma Microsoft w końcu zaczyna wyłączać ActiveX w aplikacjach pakietu Microsoft 365, postępując podobnie w przypadku pakietu Office 2024 w ubiegłym roku.

Ważne zmiany w zakresie bezpieczeństwa

Począwszy od tego miesiąca w wersjach systemu Windows programów Microsoft Word, Excel, PowerPoint i Visio w ramach pakietu Microsoft 365 cała zawartość ActiveX będzie domyślnie wyłączana bez wyświetlania powiadomienia. Wersje pakietu Office na komputery Mac i wersje internetowe nigdy nie obsługiwały formantów ActiveX.

„ Poprzednie ustawienie domyślne pozwalało użytkownikom na włączanie potencjalnie niebezpiecznych kontrolek ActiveX, które mogłyby zostać wykorzystane przez hakerów za pomocą inżynierii społecznej lub złośliwych plików. Nowe ustawienie domyślne jest bezpieczniejsze, ponieważ całkowicie blokuje te kontrolki, zmniejszając ryzyko złośliwego oprogramowania lub nieautoryzowanego wykonania kodu ” — powiedział Microsoft we wpisie na blogu.

Zmiana ta została wprowadzona w pakiecie Microsoft Office 2024, ale teraz będzie miała zastosowanie także do aplikacji pakietu Microsoft 365 opartych na subskrypcji. Funkcja ta jest obecnie dostępna w kanale beta dla wersji 2504 (kompilacja 18730.20030) i nowszych, a wkrótce zostanie udostępniona wszystkim użytkownikom systemu Windows.

ActiveX nie jest całkowicie usuwany

Należy pamiętać, że ActiveX nie zostaje całkowicie usunięty z aplikacji pakietu Office. W niektórych organizacjach ta funkcja może być nadal włączona, a poszczególne konta mogą ją ponownie włączyć, wybierając kolejno:
Plik > Opcje > Centrum zaufania > Ustawienia Centrum zaufania > Ustawienia ActiveX > Monituj przed włączeniem wszystkich kontrolek z minimalnymi ograniczeniami .

Firma Microsoft wydała pierwszą wersję technologii ActiveX w 1996 roku, umożliwiając stronom internetowym w przeglądarce Internet Explorer i dokumentach pakietu Office osadzanie złożonego kodu i interaktywnej zawartości. Na przykład ActiveX może tworzyć przyciski i listy kontrolne w dokumentach pakietu Office, które po kliknięciu umożliwiają modyfikację dokumentu lub wykonywanie zewnętrznych akcji.

Choć ActiveX ma pewne uzasadnione zastosowania, jest bardziej znany z ataków phishingowych i rozsyłania złośliwego oprogramowania. Wykryto wiele luk w zabezpieczeniach ActiveX, które umożliwiają zmianę ustawień i plików systemu Windows przy użyciu pozornie bezpiecznego dokumentu programu Word lub PowerPoint. Jest to również częste zagrożenie bezpieczeństwa i prywatności w przeglądarce Internet Explorer i nigdy nie wystąpiło w przeglądarce Microsoft Edge.

Firma Microsoft już wcześniej zaktualizowała aplikacje pakietu Office, aby nie uruchamiały automatycznie zawartości ActiveX, jednak niektóre złośliwe pliki nadal mogą oszukiwać użytkowników i nakłaniać ich do kliknięcia przycisku „Włącz zawartość”. Usunięcie tej opcji przez Microsoft powinno przyczynić się do zmniejszenia liczby ataków, a jednocześnie pozwolić na uruchamianie technologii ActiveX, jeśli jest to absolutnie konieczne.

Powyższa zmiana wydaje się być ostatnim krokiem przed całkowitym usunięciem ActiveX z pakietu Office, ale nie jest jasne, kiedy (i czy w ogóle) to nastąpi. Niektóre dokumenty działają poprawnie tylko z ActiveX, a nowa platforma dodatków firmy Microsoft nie zastąpi ich w pełni.

Wyłączenie ActiveX to kolejny krok podejmowany przez firmę Microsoft w celu ograniczenia zagrożeń bezpieczeństwa, zwłaszcza że ataki typu phishing i złośliwe oprogramowanie stają się coraz bardziej wyrafinowane.