本期解析 Microsoft 365 Copilot Enterprise 的 SearchLeak 漏洞链。Varonis Threat Labs 披露，这条链路可通过一个特制 Copilot 搜索链接触发：指令进入 q 参数后，Copilot 搜索邮箱、会议、OneDrive、SharePoint 等企业数据，再借由 HTML 渲染空窗与 Bing 以图搜图请求把数据带出。Microsoft 已在云端缓解 CVE-2026-42824，MSRC 页面说明用户无需单独操作。

企业侧的重点不只是「有没有补丁」，还要重新检查 Copilot 能搜到哪些内容：压缩过度共享文件、邮箱和站点权限，并审计异常搜索与访问日志。