微软十月安全更新修复 1413 个漏洞，三个零日漏洞在列

微软在 2026 年 10 月例行更新中修复了 1413 个漏洞，为其历史上规模最大的一次月度更新，并确认其中一个漏洞已被攻击者利用。这一数字超过微软 2025 年全年修复的漏洞总数，也使 2026 年累计修复量突破 4000 个。

在 10 月的漏洞中，1102 个影响 Windows，134 个影响 Office。NHS England 的网络安全警报列出三个零日漏洞，即补丁发布前已被利用或公开披露的漏洞。同时，Windows 11 24H2 家庭版和专业版以及 Windows 10 Enterprise LTSB 2016 自 10 月 14 日起不再获得支持。

被利用的零日漏洞

正在被攻击者利用的漏洞编号为 CVE-2026-96951，属于 Windows Shell 的安全功能绕过，严重性评分为 10 分制中的 8.8 分。微软将其描述为对命令中特殊元素的不当中和，可使未获授权的攻击者通过网络绕过某项安全功能。

具体而言，该漏洞可绕过 Mark of the Web，即 Windows 为从互联网下载的文件附加的标记，用于在用户打开文件前发出警告。攻击者会借助电子邮件或消息诱导目标打开恶意文件。美国网络安全和基础设施安全局已于周二将该漏洞列入已知被利用漏洞目录，并要求联邦机构在 10 月 16 日前完成修复。这是今年第三个被活跃利用的 Windows Shell 漏洞。微软未披露攻击者如何利用该漏洞，也未说明由谁报告。

另外两个零日漏洞

另外两个漏洞在补丁可用前已被公开披露。CVE-2026-108398 是 .NET Framework 中的安全功能绕过漏洞，评分同为 8.8。相关记录描述了一种不受信任的搜索路径，允许已获授权的攻击者在本地绕过安全功能。该漏洞需要本地访问权限和一个低权限账户，微软评估其被利用的可能性较低。

CVE-2026-92707 是开发者所用库 MessagePack-CSharp 中的拒绝服务漏洞，评分较低，为 5.3。微软尚未对其可利用性作出评估。

各方评估与建议

不同安全厂商的统计存在差异。Tenable 报告称漏洞数量为 1407 个、零日漏洞两个，其中一个是已被利用的漏洞。NHS England 的警报则沿用微软自己的数字。NHS England 国家网络安全运营中心评估认为，这三个漏洞未来被利用的可能性很高。

在 10 月 14 日发布的一份中等级别警报中，相关机构被建议立即审查并应用微软的 10 月安全更新。警报将 Windows Server 和 .NET Framework 列为受影响平台，并引导读者查阅微软的更新指南以获取完整列表。卫生和公共服务组织的管理员需要测试并部署数量非常庞大的更新；其中 Windows Shell 修复的提前部署理由最为充分，因为利用已被确认，且攻击只需用户打开一个文件。

NHS England 的警报还提到，7 月发布的警报记录了 622 项修复，本次数字是该月的两倍多。

支持终止的旧版本

旧版软件的支持也已结束。运行这些版本的设备将不再获得安全更新，警报鼓励相关组织迁移到受支持的版本。Windows Server 2012 和 2012 R2 的扩展安全更新也在本月结束。

这并非今年首次出现此类情况。NHS England 曾在 7 月警告称，SharePoint Server 2016 和 2019 已于 7 月 14 日失去支持。每个月都会修复一些不受支持系统永远无法获得的漏洞，而 10 月的更新是迄今为止规模最大的一次。每当一个平台退出支持，这一差距就会进一步扩大。

要点

• 10 月更新修复 1413 个漏洞，为微软历史最大规模
• 其中 1102 个影响 Windows，134 个影响 Office
• CVE-2026-96951 为 Windows Shell 安全功能绕过，评分 8.8
• CISA 已将该漏洞列入已知被利用漏洞目录
• Windows 11 24H2 家庭版和专业版已结束支持