微软十月补丁日修复1413个 CVE，Windows Shell 零日已被在野利用

微软于2026年10月13日发布其历史上规模最大的月度安全更新，一次性修复1413个CVE，其中Windows系统核心占1102个。这是微软自2003年实行月度补丁机制以来单次修复数量最多的一次，也是今年首个突破四位数的月份。

在全部1413个漏洞中，仅有一个被确认在发布时已遭在野利用，即编号CVE-2026-96951的Windows Shell安全功能绕过漏洞，CVSS评分为8.8。美国网络安全和基础设施安全局（CISA）已将其列入已知被利用漏洞目录，并要求联邦机构在2026年10月16日前完成修补。

补丁规模与产品分布

微软此次更新覆盖其完整产品线，从核心Windows操作系统到普通消费者很少接触的开发工具均有涉及。其中Windows系统核心占1102个，超过整批修复量的四分之三，占比78.0%；Microsoft Office修复134个，占9.5%；开发工具修复61个，占4.3%；SharePoint Server修复36个，占2.5%。Exchange Server、Azure组件和Microsoft Defender等其余产品线合计修复80个，占5.7%，均未接近Windows或Office的规模。

作为参照，近年来一次典型的月度补丁通常在60到150个CVE之间。2026年10月的数量约为这一平均水平的十倍，也是今年首个突破四位数的月份。微软自2003年起实行月度补丁机制，本次更新大幅刷新了此前的单次修复纪录。

零日漏洞如何被利用

该评分即便没有在野利用，也足以要求当周处理；在确认遭到实际滥用后，它直接跃升至各企业补丁队列的首位。

该漏洞可让攻击者剥离或伪造Windows为文件附加的“网络标记”（Mark of the Web）。这一标记针对从互联网下载的文件、电子邮件附件或网络共享文件生成，会触发Office中橙色的“此文件来自互联网，是否确定”提示，以及可执行文件运行前的SmartScreen警告。绕过该标记后，恶意文件会被当作本地可信来源处理，跳过多数非技术用户真正会阅读的那道警告。

此类网络标记绕过已成为钓鱼活动的常用手法，因为它攻击的是最后一道防线而非第一道。垃圾邮件过滤器可能漏掉恶意附件，但只要用户在打开前看到醒目警告，攻击往往就此中断，而CVE-2026-96951移除了这最后一道减速带。相关报道指出，将钓鱼诱饵与安全功能绕过而非传统远程代码执行漏洞配对，在微软2026年的披露中反复出现，表明攻击者的关注点已转向警告抑制类缺陷。

CISA的修复期限

美国网络安全和基础设施安全局（CISA）在微软发布修复的同一周，将CVE-2026-96951列入已知被利用漏洞（KEV）目录，并设定2026年10月16日为修复截止日期，留给联邦机构约三个工作日在其Windows设备群中完成更新。对于与确认在野利用相关的KEV条目，这一短窗口属于标准做法，但对变更控制流程本就不适应72小时节奏的大型机构而言，仍会造成实际摩擦。

私营企业不受KEV截止日期约束，但安全团队普遍将其视为事实上的行业时钟，因为保险承保方和审计方越来越多地询问企业是否在联邦窗口内修复了KEV列出的漏洞，即便没有法规作此要求。

Windows Shell的多年趋势

CVE-2026-96951并非孤立事件，它是2026年迄今第三个遭到在野利用的Windows Shell漏洞。该组件的补丁数量相比前两年明显上升：微软在2024年全年仅修复了一个Windows Shell漏洞，2025年升至三个，而2026年至10月已出现第三个被利用的零日。对于负责文件类型警告这一多数用户从未留意的组件而言，这一趋势值得IT团队关注。

要点

• 微软10月补丁日修复1413个CVE，创历史纪录
• Windows系统核心占1102个，超过总量的四分之三
• CVE-2026-96951可绕过Mark of the Web警告，CVSS评分8.8
• CISA要求联邦机构在10月16日前完成修复
• 这是2026年第三个被在野利用的Windows Shell漏洞