微軟單次修了1411個漏洞，創補丁紀錄 10月13日，微軟照例發佈“補丁星期二”安全更新，面向Windows 11、Windows 10、Windows Server、.NET等產品線一次性修復1411個漏洞，打破公司自身單次更新的修復數量紀錄。BleepingComputer首先披露這一數字，IT之家、IT時代網等中文媒體隨後跟進。需要說明的是，1411這個數不含微軟在10月2日提前發佈的一批補丁，那批另修了348個漏洞；若把月初的修復算進去，本月總量還要更高。
本輪共修復3個零日漏洞。其中CVE-2026-96951是唯一確認“在野外被利用”的一個，屬於Windows Shell安全功能繞過漏洞，CVSS評分8.8。微軟安全響應中心（MSRC）的公告顯示，該漏洞由富士通的Riku Bamba、Yuya Chudo，Anthropic的Benoit Sevens（使用Claude模型）以及研究者yhw報送。微軟沒有披露攻擊者身份、受害目標或利用規模，也未說明是誰最早發現。
這個漏洞的本質是命令注入，可繞過Windows的“標記爲網頁來源”（Mark of the Web，簡稱MOTW）機制。MOTW是Windows給從互聯網下載的文件打上的“可疑”標籤，SmartScreen、Office受保護視圖、Office宏攔截、Win11的智能應用控制以及附件管理器提示都會讀取它。漏洞一旦被利用，攻擊者可以送出一個根本不帶該標籤的文件，讓後續防線默認放行。微軟提示，利用需要用戶交互，典型路徑是釣魚郵件或消息誘導目標打開特製附件或點擊鏈接。
另兩個零日此前已被公開披露，但微軟和美國網絡安全與基礎設施安全局（CISA）都未確認遭到利用。CVE-2026-108398影響.NET Framework，已獲認證的攻擊者可在系統上放置特製的.NET程序集，繞過Windows Defender應用程序控制（WDAC）並運行未授權應用。CVE-2026-92707影響MessagePack-CSharp庫，遠程攻擊者可通過不受控的內存分配讓使用該庫的.NET應用崩潰，造成拒絕服務。
按漏洞類型拆分，本輪修復677個權限提升漏洞、317個遠程代碼執行漏洞、254個信息泄露漏洞、73個拒絕服務漏洞、40個安全功能繞過漏洞和28個欺騙漏洞。其中70個被評爲“嚴重”級別，包括57個遠程代碼執行、11個權限提升和2個欺騙。不同媒體的統計口徑並不一致：SecurityOnline稱“78個嚴重修復”，Rapid7統計爲1413個CVE，SANS ISC甚至報到1417個，而個別媒體的1118個明顯偏低、未獲一手來源支持。
除了修漏洞，微軟本月還推出“風險組”機制，把屬於同一風險類別的漏洞歸到一起，並附上統一的評估問題，幫助企業判斷先修哪個。10月更新共發佈15個風險組，規模最大的是“Windows文件系統、存儲和備份”一類，包含136個漏洞。該機制目前仍處實驗階段。
從月度趨勢看，微軟1月修復112個漏洞，9月升至974個，10月達到1411個，同比增幅563.37%；1月至9月累計修復3920個，同比增長274.05%。BleepingComputer的1411不含10月2日的提前修復，MSRC頁面列的是1413，兩邊相差的正是那部分口徑問題。對讀者來說，可記住的要點是：這是微軟補丁史上單次規模最大的一批，且比前幾個月高出一個量級。
微軟發佈當天，CISA就把CVE-2026-96951列入“已知被利用漏洞”（KEV）目錄，要求聯邦機構在10月16日前完成修復，也就是隻有三天窗口。對企業而言，順序也很明確：先修在野利用的Windows Shell零日，再處理依賴WDAC的.NET Framework系統，然後按“嚴重”級別和對外暴露程度排查其餘補丁。
同一天還是個支持週期的節點：Windows 11 24H2家庭版與專業版、Windows 10 Enterprise LTSB 2016在10月13日走到支持終點，本次月度安全更新是它們拿到的最後一個補丁，之後不再收到安全修復。企業版與教育版支持期爲36個月，延續到2027年10月12日；23H2企業版與教育版則在2026年11月10日結束更新，只剩一次補丁機會。
對個人用戶，最實際的動作是打開Windows Update把本次累積更新裝完，尤其是桌面和筆記本上從郵件、瀏覽器下載文件的人；在補丁落地前，對來路不明的附件和鏈接保持額外警惕。對管理員，優先級依次是：CVE-2026-96951、依賴WDAC的.NET環境、70個嚴重級漏洞、以及對公網暴露的服務器；同時排查仍停在24H2家庭版/專業版的受管設備，儘快升級到25H2或26H2，否則它們將永久失去月度安全更新。