Microsoft 365 wyłączy ActiveX, ponieważ hakerzy wciąż go używają

Microsoft Office wyłącza automatycznie ActiveX w aplikacjach Microsoft 365, poprawiając bezpieczeństwo użytkowników, po wcześniejszym wprowadzeniu tej zmiany w Office 2024.

Microsoft Office od lat wspiera ActiveX jako opcję do rozszerzania i automatyzacji dokumentów, ale była to także istotna luka w bezpieczeństwie. Microsoft w końcu zaczyna wyłączać ActiveX w aplikacjach Microsoft 365, podążając za podobnym krokiem w zeszłorocznym pakiecie Office 2024.

Od tego miesiąca wersje Windows Microsoft Word, Excel, PowerPoint i Visio w Microsoft 365 domyślnie zablokują całą zawartość ActiveX bez wyświetlania powiadomienia. Wersje na Mac i aplikacje webowe Office nigdy nie wspierały zawartości ActiveX.

Microsoft stwierdził w poście na blogu: „Poprzednia domyślna ustawienie, ‘Pytaj mnie przed włączeniem wszystkich kontrolerów z minimalnymi ograniczeniami’, pozwalało na włączenie potencjalnie niebezpiecznych kontrolerów ActiveX, które mogły być wykorzystywane przez napastników za pomocą inżynierii społecznej lub złośliwych plików. Nowe domyślne ustawienie jest bardziej bezpieczne, ponieważ całkowicie blokuje te kontrolery, zmniejszając ryzyko złośliwego oprogramowania lub nieautoryzowanego uruchamiania kodu.”

Ta zmiana została już wprowadzona w Microsoft Office 2024, ale teraz trafia również do subskrypcyjnych aplikacji Microsoft 365. Jest już dostępna w kanale beta dla wersji 2504 (Build 18730.20030) lub nowszych aplikacji, a zmiana powinna wkrótce pojawić się dla wszystkich użytkowników Windows.

Ważne jest, że ActiveX nie jest całkowicie usuwany z aplikacji Office. Niektóre organizacje mogą nadal włączyć tę funkcję, a konta osobiste mogą przełączać ją, przechodząc do Plik > Opcje > Centrum zaufania > Ustawienia Centrum zaufania > Ustawienia ActiveX > Pytaj mnie przed włączeniem wszystkich kontrolerów z minimalnymi ograniczeniami.

Bye Bye, ActiveX

Microsoft wydał pierwszą wersję ActiveX w 1996 roku, umożliwiając stronom internetowym w Internet Explorer i dokumentom w Microsoft Office osadzanie złożonego kodu oraz interaktywnej zawartości. Na przykład, kontrolki ActiveX mogły być używane do tworzenia przycisków i list kontrolnych w dokumentach Office, które mogły modyfikować dokument lub wykonywać akcje zewnętrzne po kliknięciu.

ActiveX miało pewne uzasadnione zastosowania, ale jest znacznie bardziej popularne w phishingu i złośliwym oprogramowaniu. Było wiele luk zabezpieczeń w ActiveX, które pozwalały pozornie bezpiecznemu dokumentowi Worda lub PowerPointa na modyfikację ustawień Windows i plików. Było to także częste zagrożenie dla bezpieczeństwa i prywatności w Internet Explorer, a nigdy nie zostało przeniesione do jego następcy, Microsoft Edge.

Microsoft ostatecznie zaktualizował aplikacje Office, aby nie uruchamiały automatycznie zawartości ActiveX, ale niektóre złośliwe pliki mogą skutecznie oszukiwać ludzi na kliknięcie przycisku ‘Włącz zawartość’. Zredukowanie tej opcji w domyślnych ustawieniach pomoże zmniejszyć te ataki, jednocześnie pozwalając na uruchamianie zawartości ActiveX, jeśli zajdzie taka potrzeba.

Ta zmiana wydaje się ostatnim krokiem przed całkowitym usunięciem ActiveX z aplikacji Office, ale nie jest jasne, kiedy (lub czy) to nastąpi. Niektóre dokumenty działają poprawnie tylko z ActiveX, a nowsza platforma Dodatków Microsoftu nie jest pełnym zastępstwem. To jest tak bezpieczne, jak ActiveX może być.

Microsoft rozpoczął automatyczne blokowanie makr Visual Basic for Applications (VBA) w dokumentach Office w 2022 roku, które także były często używane do dystrybucji złośliwego oprogramowania. Ta zmiana została wprowadzona we wszystkich wersjach aplikacji Office, które były wspierane wówczas, w tym Office LTSC, Office 2021, Office 2019, Office 2016 i Office 2013.

Źródło: Microsoft 365 Insider Blog

Często zadawane pytania: Ważne pytania i odpowiedzi

Jak wyłączyć ActiveX?

Aby wyłączyć kontrolki ActiveX w Centrum zaufania, należy skorzystać z następujących instrukcji:

• Kliknij pozycję Plik > Opcje.
• Wybierz Centrum zaufania > Ustawienia Centrum zaufania > Ustawienia kontrolek ActiveX.
• Wybierz odpowiednie opcje dotyczące wyłączenia kontrolek ActiveX.
• Kliknij przycisk OK. Po wykonaniu tych kroków kontrolki ActiveX zostaną wyłączone.

Czym jest ActiveX w pakiecie Office?

Kontrolki ActiveX to małe bloki konstrukcyjne wykorzystywane w aplikacjach internetowych, które działają przez przeglądarki. W pakiecie Office pełnią szereg funkcji, w tym umożliwiają:

• -

Zbieranie danych

: Umożliwiają tworzenie formularzy i aplikacji do gromadzenia informacji z użytkowników.
• Przeglądanie plików: Pozwalają na interaktywne przeglądanie niektórych typów plików, takich jak multimedia.
• Wyświetlanie animacji: Umożliwiają przedstawienie treści w bardziej dynamiczny sposób. Typowe zastosowania kontrolek ActiveX obejmują:
• Przyciski poleceń do uruchamiania różnych akcji.
• Pola listy do wyboru opcji.
• Okna dialogowe do interakcji z użytkownikami. W praktyce pozwalają one na zwiększenie funkcjonalności dokumentów i aplikacji stworzonych w pakiecie Office.

Jak zezwolić na uruchamianie nieużywanych wcześniej kontrolek ActiveX bez monitu?

Aby zezwolić na uruchamianie nieużywanych wcześniej kontrolek ActiveX bez monitu, wykonaj następujące kroki:

• Otwórz Edytor zasad grupy (gpedit.msc).
• Przejdź do:
  • -

  Konfiguracja komputera

• Szablony administracyjne
• Składniki systemu Windows
• Internet Explorer
• Panel sterowania Internetem
• Strona zabezpieczeń
• Strefa witryn z ograniczeniami
• Znajdź opcję: „Zezwalaj tylko zatwierdzonym domenom na używanie kontrolek ActiveX bez monitu”.
• Ustaw jej wartość na „Włączone”.
• Wybierz „Włącz” z listy rozwijanej. Po wykonaniu tych kroków, kontrolki ActiveX powinny być uruchamiane bez monitów w wybranych domenach.

Czy Microsoft nadal wspiera ActiveX?

Microsoft zaprzestał wsparcia dla technologii ActiveX w następujący sposób:

- ActiveX został usunięty z Internet Explorer 10 w wersji dostępnej w Windows Store dla systemu Windows 8.
• W 2015 roku firma Microsoft wydała przeglądarkę Microsoft Edge (Legacy), która również nie wspierała ActiveX.
• Te zmiany oznaczają, że technologia ActiveX nie jest już rozwijana ani wspierana w przeglądarkach internetowych Microsoftu. W rezultacie, użytkownicy i deweloperzy powinni szukać alternatywnych rozwiązań do obsługi interaktywnych treści w sieci.

Jeśli ciekawią Cię artykuły podobne do Microsoft 365 wyłączy ActiveX, ponieważ hakerzy wciąż go używają, zajrzyj do kategorii Aplikacje i odkryj jeszcze więcej interesujących treści.