След пускането на Office 2024 през октомври Microsoft ще забрани ActiveX контролите по подразбиране в клиентските приложения на Word, Excel, PowerPoint и Visio.

ActiveX е наследена софтуерна рамка, въведена през 1996 г., която позволява на разработчиците да създават интерактивни обекти, които могат да бъдат вграждани в документи на Office. Редмънд ще започнат с изключването на ActiveX контролите в документите, отворени в настолните приложения на Win32 Office през октомври 2024 г. – промяна, която ще се разпространи и в приложенията на Microsoft 365 през април 2025 г.

„Започвайки в новия Office 2024, настройката по подразбиране за конфигурация на ActiveX обекти ще се промени от Prompt me before enabling all controls with minimal restrictions (Попитайте ме, преди да разрешите всички контроли с минимални ограничения) на Disable all controls without notification (Изключване на всички контроли без известие)“, заяви компанията в нов запис в центъра за съобщения на Microsoft 365.

„Когато тази промяна бъде въведена, потребителите вече няма да могат да създават или да взаимодействат с ActiveX обекти в документите на Office.“

Въпреки че някои съществуващи ActiveX обекти ще продължат да се появяват като статични изображения в документите на Office, потребителите вече няма да могат да взаимодействат с тях.

В нетърговските версии на Office обаче те ще получават известия, в които се посочва: „Новата настройка по подразбиране е еквивалентна на съществуващата настройка на груповата политика DisableAllActiveX“, когато ActiveX обектите са блокирани съгласно новата конфигурация по подразбиране.

След като промяната бъде въведена, потребителите, които трябва да разрешат ActiveX контроли в документите на Office, могат да се върнат към предишните настройки по подразбиране, като използват един от следните методи:

• В диалоговия прозорец Trust Center Settings (Настройки на Центъра за доверие), в раздела ActiveX Settings (Настройки на ActiveX), изберете опцията „Prompt me before enabling all controls with minimal restrictions“ (Попитайте ме, преди да разрешите всички контроли с минимални ограничения).
• В регистъра задайте в HKEY_CURRENT_USER\Software\Microsoft\Office\Common\Security\DisableAllActiveX стойност 0 (REG_DWORD).
• Задайте настройката на груповата политика „Disable All ActiveX“ на 0.

Тази промяна вероятно е продиктувана от добре известните проблеми със сигурността на ActiveX, като например уязвимостите от типа „нулев ден“, използвани от севернокорейските хакери Andariel за внедряване на зловреден софтуер за кражба на информация.

Атакуващите са използвали и ActiveX контроли, вградени в Word документи, за да инсталират зловреден софтуер TrickBot и сигнализатори Cobalt Strike за проникване в корпоративни мрежи,

Този ход е част от по-широкообхватни усилия за премахване или изключване на функциите на Office и Windows, с които заплахите са злоупотребявали, за да заразяват клиентите на Microsoft със зловреден софтуер. Той датира от 2018 г., когато Microsoft разшири поддръжката на своя интерфейс за сканиране на антималуер (AMSI) към клиентските приложения на Office 365, за да осуети атаки, които използват макроси VBA на Office.

Оттогава насам Редмънд също така деактивира макросите на Excel 4.0 (XLM), започна да блокира макросите VBA на Office по подразбиране, въведе защита на макросите XLM и започна да блокира ненадеждните добавки XLL по подразбиране във всички наематели на Microsoft 365 по света.

Освен това през май обяви, че ще премахне VBScript през втората половина на 2024 г., като го превърне във функция по заявка до пълното му премахване.