微软4月中旬公告,基于安全考量,微软将预设关闭Microsoft 365及Office 2024中的ActiveX。
ActiveX是很强大的工具,ActiveX控制项可让使用者与web应用程式互动,同时,Web应用程式亦可借由ActiveX控制项存取电脑。微软说,ActiveX为Microsoft 365(M365)创造丰富互动,但是它可存取系统深度资源,也带来安全风险。从4月开始,Windows版Word、Excel、PowerPoint及Visio将预设关闭ActiveX控制项。它不会再通知用户,而是已经关闭所有控制项。
由于微软产品屡次发现存在ActiveX漏洞。微软Edge浏览器早在2015年就不再支援ActiveX。
去年9月微软决定预设关闭Office/M365应用程式中的ActiveX,但是还要用户主动选择。那时用户需在「信任中心设定」页中的ActiveX 设定项,选择「以最小限制关闭所有控制项前提示我」选项。但微软说,这设定可能让攻击者利用社交工程或恶意档案滥用,而为恶意活动开了大门。新的预设设定可完全封锁控制、降低恶意程式码执行的风险。因此用户如果开启包含ActiveX控制项的档案,M365应用程式的上方就会显示:「封锁内容:本档案内的ActiveX内容已经封锁。」
只有在之前从未手动设定ActiveX设定的用户会收到这通知。关闭ActiveX物件后,用户就无法再和M365 ActiveX物件互动或新增物件。现有档案的ActiveX物件则会呈现静态图像,但无法再使用。
用户若有把握档案是安全的,还是可启用ActiveX控制项。方法是选择上方功能列的「档案」>「选项」「信任中心」>「信任中心设定」>「ActiveX设定」,勾选「以最小限制启用所有控制项前提示我(Prompt me before enabling all controls with minimal restrictions)」,再按下「OK」。
不过要注意的是,启用ActiveX后,会适用所有Office/M365应用程式,而非只适用於单一档案。
企业用户可能会发现ActiveX设定是灰色无法使用状态,这表示管理员已统一设定了ActiveX政策。