Microsoft 365 akan melumpuhkan ActiveX kerana penyalahgunaan penggodam yang berlebihan

Microsoft Office telah menyokong ActiveX selama bertahun-tahun sebagai pilihan untuk pemanjangan dan automasi dokumen, tetapi ia juga merupakan kelemahan keselamatan yang serius. Kini, Microsoft akhirnya mula melumpuhkan ActiveX dalam aplikasi Microsoft 365, berikutan langkah serupa dengan suite Office 2024 tahun lepas.

Perubahan Keselamatan Penting

Mulai bulan ini, versi Windows Microsoft Word, Excel, PowerPoint dan Visio dalam Microsoft 365 akan melumpuhkan semua kandungan ActiveX secara lalai tanpa memaparkan pemberitahuan. Mac dan versi web Office tidak pernah menyokong ActiveX.

" Tetapan lalai sebelumnya membenarkan pengguna mendayakan kawalan ActiveX yang berpotensi berbahaya, yang boleh dieksploitasi oleh penggodam melalui kejuruteraan sosial atau fail berniat jahat. Tetapan lalai baharu lebih selamat kerana ia menyekat sepenuhnya kawalan ini, mengurangkan risiko perisian hasad atau pelaksanaan kod tanpa kebenaran, " kata Microsoft dalam catatan blog.

Perubahan ini telah dilancarkan dalam Microsoft Office 2024, tetapi kini ia akan digunakan pada aplikasi Microsoft 365 berasaskan langganan juga. Ciri ini kini tersedia pada Saluran Beta untuk Versi 2504 (Bina 18730.20030) dan ke atas dan akan dilancarkan kepada semua pengguna Windows tidak lama lagi.

ActiveX tidak dialih keluar sepenuhnya

Adalah penting untuk ambil perhatian bahawa ActiveX tidak dialih keluar sepenuhnya daripada aplikasi Office. Sesetengah organisasi mungkin masih mendayakan ciri ini dan akaun individu boleh mendayakannya semula dengan pergi ke:
Fail > Pilihan > Pusat Amanah > Tetapan Pusat Amanah > Tetapan ActiveX > Gesa saya sebelum mendayakan semua kawalan dengan sekatan minimum .

Microsoft mengeluarkan versi pertama ActiveX pada tahun 1996, membenarkan halaman web dalam Internet Explorer dan dokumen Office membenamkan kod kompleks dan kandungan interaktif. Contohnya, ActiveX boleh membuat butang dan senarai semak dalam dokumen Office yang boleh mengubah suai dokumen atau melakukan tindakan luaran apabila diklik.

Walaupun ActiveX mempunyai beberapa kegunaan yang sah, ia lebih terkenal dengan serangan pancingan data dan perisian hasad. Terdapat beberapa kelemahan ActiveX yang membenarkan dokumen Word atau PowerPoint yang kelihatan selamat untuk menukar tetapan dan fail Windows. Ia juga merupakan ancaman keselamatan dan privasi yang kerap dalam Internet Explorer dan tidak pernah sampai ke Microsoft Edge.

Microsoft sebelum ini mengemas kini aplikasi Office untuk tidak menjalankan kandungan ActiveX secara automatik, tetapi sesetengah fail berniat jahat masih boleh menipu pengguna untuk mengklik butang "Dayakan Kandungan". Microsoft mengalih keluar pilihan ini secara lalai akan membantu mengurangkan serangan, sementara masih membenarkan ActiveX berjalan jika benar-benar perlu.

Perubahan di atas nampaknya merupakan langkah terakhir sebelum ActiveX dialih keluar daripada Office sepenuhnya, tetapi tidak jelas bila (atau jika) perkara itu akan berlaku. Sesetengah dokumen hanya berfungsi dengan betul dengan ActiveX, dan platform Add-in baharu Microsoft bukanlah pengganti yang lengkap.

Melumpuhkan ActiveX ialah satu lagi langkah dalam usaha Microsoft untuk mengurangkan risiko keselamatan, terutamanya apabila serangan pancingan data dan perisian hasad menjadi lebih canggih.