SharePoint服务器补上漏洞，并不意味着此前的入侵痕迹已经清除。Warlock相关公开研究提醒企业：修补入口、排查残留访问与恢复业务数据需要分别验证。发现异常登录、安全软件失联或批量文件损坏，应先隔离受影响系统并保存证据，再确定恢复路径，不能把“补丁安装成功”当作事件处置完成。

研究报告说了什么？

Symantec与Carbon Black威胁研究团队于2026年10月1日发布Warlock分析。据该来源公开信息，相关攻击者继续利用本地SharePoint的安全薄弱点开展入侵，其观察涉及水务、电信、政府及教育机构。报告还描述了干扰终端安全防护和滥用合法远程访问能力的行为。

这份报告的发布日期是10月1日，并非10月12日新发生的攻击。部分后续网页重新报道了研究，不能将转载日期当作事件日期。本文采用其风险提示，不把厂商观察推算为全球受害规模，也不推断所有SharePoint异常都属于Warlock。

独立资料如何帮助确认风险？

微软2025年7月22日发布的SharePoint攻击分析记录了Storm-2603利用相关漏洞部署勒索软件的活动，并提出修补、排查及密钥处理等要求。这是独立的历史研究，可以支持“漏洞入侵可能发展为勒索攻击”的机制判断，但不是对2026年报告中每个受害案例的独立确认。

企业应先确认自己使用的是本地SharePoint Server还是其他服务、具体版本及部署范围，再查阅适用的官方更新说明。不要只依据产品名称或新闻标题判断是否受影响，也不要直接照搬其他服务器的修复步骤。变更前应由管理员核对兼容性、维护窗口及回退准备。

修补之后，需要核验四件事

• 入口是否真正关闭：盘点所有相关节点、版本和更新状态，避免遗漏旧实例或测试服务器；核对不必要的外部访问是否仍然存在。
• 访问权限是否可信：检查新增账号、服务账号权限、异常会话和远程管理工具。涉及凭据或应用密钥风险时，按官方处置指引和实际调查结果处理。
• 终端防护是否正常：确认安全代理在线、策略生效、日志连续。控制台没有告警不等于系统没有问题，异常失联本身就需要调查。
• 后门与横向影响是否排除：结合Web访问、系统和身份日志核查异常文件及进程，明确是否波及其他业务主机；不要只清理最早发现异常的一台机器。

建议为每项检查记录负责人、证据与结论。无法确认的项目应标为待调查，不能用“暂未发现”替代完整核验。若系统可信状态无法恢复，应评估从可信介质重建，并在恢复前完成必要的证据保存。

文件已经加密，先保护恢复条件

CISA的通用勒索响应指南强调隔离受影响系统并保护证据。企业应停止受影响共享目录的访问，记录异常时间、设备和业务范围。不要格式化原磁盘、反复重装或继续大量写入；不要直接修改加密文件或删除勒索信。保留原始样本及日志，优先制作磁盘镜像，恢复测试在副本上开展。

备份恢复前，先在隔离环境检查备份时间、内容完整性和系统依赖。应用服务器可以启动，不代表文档库、数据库、权限和业务流程已经一致。先恢复一组关键业务进行验收，再逐步扩大范围，并保留原始受损数据以便复核。

当前是否可以解密？

漏洞能够修补，不等于被加密文件能够解密。应结合勒索信、文件特征及实际样本识别家族与变种，再核对可信工具的适用条件。No More Ransom提供工具目录，但目录中某个家族有工具，也不能推定所有变种或所有文件均可恢复。

本文没有核实到可覆盖本次讨论事件全部样本的通用免费解密能力，因此不提供破解成功率或恢复时限承诺。备份还原、残留数据提取和密码学解密是不同路径；杀毒或删除后门也不能直接还原已经加密的内容。

复工前，把技术检查与业务验收连起来

广州捷越网络科技有限公司建议企业将服务器排查与数据库、文件恢复共同纳入处置计划。先明确关键数据、可用副本和恢复优先级，再约定验收标准。复工后持续关注异常登录、权限变化和备份任务，定期开展恢复演练，避免数据恢复后仍保留原有入侵条件。

来源与适用范围

Symantec/Carbon Black：《Warlock Ransomware Attackers Hit Water and Telecom Operators》，2026年10月1日，https://www.security.com/threat-intelligence/warlock-ransomware-critical-infrastructure 。

Microsoft：《Disrupting active exploitation of on-premises SharePoint vulnerabilities》，2025年7月22日，https://www.microsoft.com/en-us/security/blog/2025/07/22/disrupting-active-exploitation-of-on-premises-sharepoint-vulnerabilities/ 。

通用指导：CISA《#StopRansomware Guide》，https://www.cisa.gov/stopransomware/ransomware-guide 。解密工具目录：https://www.nomoreransom.org/en/decryption-tools.html 。资料核验日期：2026年10月13日。通用建议不替代具体环境的事件调查。