微软十月补丁日修复1413个漏洞，一个 Windows Shell 零日漏洞已被在野利用

微软2026年10月补丁日于10月13日发布，修复约1413个漏洞，成为今年规模最大的一次更新。安全公司Tenable统计为1407个，Rapid7则称其中1102个仅涉及Windows组件。

在大量修复中，Windows Shell的安全功能绕过漏洞CVE-2026-96951已被在野利用，是2026年第三个遭实际攻击的Windows Shell零日漏洞；另有SharePoint和.NET Framework两个零日漏洞在补丁发布前已公开披露。

补丁规模与统计差异

各家安全厂商对本次更新的统计口径并不一致。CrowdStrike的滚动统计显示微软共修复1413个漏洞，其中75个被评为严重级别，1个为已被利用的零日漏洞，2个为补丁发布前已公开披露的零日漏洞。Tenable的统计为1407个，其中严重漏洞69个、重要漏洞1337个。Rapid7与ITBrief则指出，其中1102个修复仅涉及Windows组件，其余分布在Office、SQL Server、Exchange、Azure组件以及随更新打包的第三方驱动中。

Tenable在博客中称，这是补丁日连续第二个月刷新本年度最大规模纪录，意味着2026年9月已打破此前纪录，10月又再度超过。发布时间也晚于惯例，CSO Online指出本次更新在美东时间下午1点的常规截止点之后才发布，打乱了按该时间表安排补丁窗口的管理员节奏。

在野利用的Shell零日

CVE-2026-96951是Windows Shell中的安全功能绕过漏洞，CVSSv3评分为8.8，评级为重要而非严重。研究人员认为，在该漏洞已被武器化的情况下，这一评级具有误导性。该漏洞可绕过Windows的Mark of the Web防护，这一机制通常会在用户打开从互联网下载的文件前将其标记为潜在不安全。

据IT Brief报道，利用该漏洞不需要先取得网络立足点，受害者只需打开特制文件或访问攻击者控制的站点。Mark of the Web被绕过后，Windows将跳过原本会中断恶意文档或脚本执行的警告对话框，这类低门槛入口正是勒索团伙和初始访问中介偏好的方式。Tenable高级研究工程师Satnam Narang对CSO Online表示，这是2026年第三个遭在野利用的Windows Shell漏洞，前两个分别是研究人员关联到APT28（又称Fancy Bear）的CVE-2026-21510和CVE-2026-32202。Tenable团队还指出，Windows Shell在2025年产生3个被利用漏洞，2024年和2022年各仅1个。

另外两个零日漏洞

CVE-2026-102866影响SharePoint，源于加密令牌验证缺陷。据CSO Online报道，未认证攻击者无需先持有有效凭据即可劫持目标用户账户，对于将SharePoint作为内部协作枢纽并接入单点登录的组织而言，这是一条严重的提权路径。

CVE-2026-108398则通过不可信搜索路径弱点影响.NET Framework。Tenable描述了利用链：攻击者注册一个恶意.NET程序集，该程序集被受保护进程加载后，Windows Defender Application Control的强制执行可被完全绕过。许多企业正是依靠Application Control阻止未授权可执行文件运行，该漏洞会在管理员未察觉的情况下移除这层防护。两个漏洞均在微软补丁就绪前已公开披露，微软未确认二者在修补前是否已被利用，但多数事件响应团队将修复前公开披露视为与已确认零日漏洞同等的风险。

重点企业组件修复

除三个零日漏洞外，Tenable还列出多个应优先修补的企业组件漏洞。CVE-2026-70229是Windows Active Directory Domain Services中的远程代码执行漏洞，CVSSv3评分8.1，评级为严重，微软可利用率指数标记为“更可能被利用”，攻击路径仅需向存在漏洞的AD DS服务发送特制数据包，无需凭据。

Exchange Server有两个值得注意的漏洞。CVE-2026-70279是评分为9.3的欺骗漏洞，依赖社会工程手法，攻击者诱使目标点击恶意内容。CVE-2026-70571是评分为8.1的远程代码执行漏洞，当存在漏洞的Exchange服务器通过内部内容转换管道处理恶意邮件时触发。

要点

• 微软10月13日发布补丁，修复约1413个漏洞
• CrowdStrike统计含75个严重漏洞
• CVE-2026-96951 CVSS评分8.8，已被在野利用
• 该漏洞是今年第三个被利用的Windows Shell零日
• SharePoint与.NET Framework零日补丁前已公开