2026-10-16 13:15:40 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

微软一个月修1413个漏洞别慌真正要命的就两个数

紫禁
紫禁

紫禁玄科

2026年10月14日 18:45
四川

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

SECURITY · INTELLIGENCE

微软一个月修1413个漏洞别慌真正要命的就两个数

2026年10月14日 · 8 min

网络安全#安全资讯

1413 这个数字我第一反应不是慌

1413
本月修复CVE

80
高危漏洞

2
零日(1个在野)

先坦白一件事：我看到\"1413\"这个数字的第一反应，不是慌，是好奇。你想想，去年一个月修几百个漏洞大家就喊\"史上最大\"，这个月直接干到 1413 个——差不多是往常月度补丁量的十几倍。9 月刚以 974 个创下纪录，10 月又把纪录踩在脚下。

但你要是因为\"数字大\"就吓得赶紧全网查\"我中招没\"，那多半是白紧张。今天这篇不追着数字跑，我带你把这 1413 拆开看：到底哪些跟你有关系，哪些纯属\"刷存在感\"，以及真正该怕的、其实就两个数。

先把最硬的数据钉死。这些不是我编的，来自 Krebs on Security 和 Dark Reading 10 月 13、14 日对微软 10 月补丁日（Patch Tuesday）的两篇报道，微软官方口径 + 几家安全厂商的独立统计：本月微软共修复 1413 个 CVE，其中 80 个高危（几乎不用你操作就能被利用、且多数能远程执行任意代码），另有 2 个零日，其中一个已经被确认在野外真实利用。

补丁数字年年涨，你的电脑就更安全了吗

1413 个漏洞都藏在哪儿

1413 个听着吓人，但它们不是均匀摊在所有软件上的。把微软自己的分布拉出来看，你会发现大头极其集中：Windows 系统一家就占了 1102 个，剩下的是 Office 134 个、开发工具 61 个、SharePoint 36 个、SQL Server 22 个、Azure 15 个、Exchange 7 个、Defender 4 个，其余杂项 32 个。

这意味着什么？意味着只要你用的是 Windows，这波补丁你就躲不掉，但反过来——绝大多数漏洞被一次\"累积更新\"打包修掉了，你并不需要一个一个去处理。微软的累积更新机制，本来就是为这种\"漏洞海啸\"设计的。

那为什么漏洞突然这么多？报道里提了个时代背景词，直译叫\"漏洞末日时代（vulnpocalypse）\"。微软自己的解释是：大语言模型（LLM）被大量用于挖漏洞，AI 帮研究员更快地在代码里找出缺陷，产出自然暴涨。Satnam Narang（Tenable）说得很直白：这个月的量远超 2020 年那个\"创纪录年\"（全年 1261 个），而今年才过了十个月，微软的 CVE 就突破 4000 个了。

漏洞越挖越多，但被真利用的只是极少数

看到这你可能要问：AI 挖出一堆洞，是好事还是坏事？我的看法是——发现得多，本身是进步；但如果补丁跟不上、或者没人去打，那发现得越多反而越危险。数字本身不是风险，数字和你的行动之间的落差才是。

反直觉的真相该怕的不是1413

接下来是这篇最想让你记住的反转：补丁数字暴涨，不等于你的风险暴涨。Fortra 安全研发的 Tyler Reguly 说了句大实话，我直接翻给你：\"数字是没有意义的。这个月是 1413，跟以往没区别。真正有意义的是另一些数字。\"

他举了那个\"有意义的数字\"：26。这是今年微软修的 CVE 里，最后真正进了美国 CISA\"已知被利用漏洞（KEV）\"目录的数量。去年这个数是 30，前年是 32。换句话说，微软今年修的几千个漏洞里，被证实真正在野外被利用的，不到 1%。

这才是关键。1413 个漏洞听起来像决堤，但从\"真被坏人拿来打你\"的角度看，实际威胁你的是个位数。所以我说\"真正要命的就两个数\"——一个是1（本月在野利用的那个零日），一个是26（今年进 KEV 被真打的）。剩下的绝大多数，是\"理论上危险、实际还没人用\"。

当然，\"没人用\"不等于\"永远不会用\"。零日一旦公开，从\"研究\"到\"武器化\"的窗口可能就几周。所以正确的态度不是\"数字大就慌\"，也不是\"反正没人用就不管\"，而是把有限的精力精准砸在那几个真被利用的点上。这就引出下面的机制——那 1 个在野零日，到底危险在哪。

一个bug 关掉你五道防护

本月那个在野利用的零日 CVE-2026-96951（CVSS 8.8），藏在 Windows Shell 里，它干的事非常\"阴\"。要理解它，先得知道一个叫 MOTW（Mark of the Web，网络标记）的东西。

MOTW 就是 Windows 给你从网上下载的每个文件贴的一张\"小贴纸\"，标记这文件\"来自互联网\"。你后续那一堆防护——SmartScreen 下载检查、Office 受保护视图、Office 宏拦截、Windows 11 的 Smart App Control、附件管理器的打开提示——全都是先看这张贴纸，再决定要不要拦你。

Automox 研究人员打了个绝妙的比方：MOTW 就像包裹上的一张贴纸，大楼里每个保安检查的都是贴纸，而不是包裹本身。而这个漏洞干的事，是\"把包裹送进来，但不给它贴纸\"。结果就是：一个文件打开时看起来就像你自己在本地创建的——没有警告弹窗、没有只读视图、没有宏拦截。一个 bug，一次性关掉了好几道防护。

一张被撕掉的来源贴纸，五道防护跟着失效

更值得警惕的是，这个漏洞是Anthropic 的 Claude AI 挖出来的（对，又是 AI）。而另一个零日 CVE-2026-108398 在 .NET Framework 里，同属\"安全旁路\"这类。再加上 CVE-2026-102866——一个 SharePoint 的提权漏洞（CVSS 8.1，签名验证不当），CVE-2026-21413——一个镜像扩展的远程代码执行。这四个，就是我建议你优先盯死的。

动手自查两个脚本二十分钟

道理讲完，给能落地的东西。第一个脚本帮你做\"补丁体检\"——把本月该盯的 CVE、零日、以及你机器上装没装 10 月累积更新都列清楚。你可以把 Get-HotFix 里的补丁号填进 MY\_KBS，它给你判词。我跑了一遍（rc=0）：

脚本一：patch\_check.py —— 纯本地补丁体检，不联网

patch\_check.py - 10月补丁体检（纯本地，不联网，内置演示数据）

import datetime

def now():

return datetime.datetime.now().strftime(\"%Y-%m-%d %H:%M:%S\")

2026年10月补丁日（Patch Tuesday = 10月13日）关键事实

OCT2026 = {

\"total\_cves\": 1413,

\"critical\": 80,

\"zero\_days\": [\"CVE-2026-96951\", \"CVE-2026-108398\"],

\"in\_the\_wild\": [\"CVE-2026-96951\"], # 确认在野利用，最优先

\"watch\": {

\"CVE-2026-96951\": \"Windows Shell 网络标记旁路(CVSS 8.8，已在野)\",

\"CVE-2026-108398\": \".NET Framework 安全旁路\",

\"CVE-2026-102866\": \"SharePoint 提权(CVSS 8.1，签名校验不当)\",

\"CVE-2026-21413\": \"镜像扩展远程代码执行\",

}

你的机器：把 systeminfo / Get-HotFix 里的补丁号填进来（演示给了两个）

MY\_KBS = [\"KB5066835\", \"KB5066836\"]

def main():

print(f\"[{now()}] 10月补丁体检启动\")

print(f\"[{now()}] 本月微软共修复 {OCT2026['total\_cves']} 个CVE，其中 {OCT2026['critical']} 个高危\")

print(f\"[{now()}] 零日 {len(OCT2026['zero\_days'])} 个：{'、'.join(OCT2026['zero\_days'])}\")

print(f\"[{now()}] 确认在野利用：{'、'.join(OCT2026['in\_the\_wild'])} —— 最优先处理\")

print(f\"[{now()}] --- 你该盯的4个CVE ---\")

for cve, desc in OCT2026[\"watch\"].items():

flag = \" [在野]\" if cve in OCT2026[\"in\_the\_wild\"] else \"\"

print(f\"[{now()}] {cve}{flag}：{desc}\")

print(f\"[{now()}] --- 补丁核对 ---\")

if MY\_KBS:

print(f\"[{now()}] 已装 {len(MY\_KBS)} 个补丁：{', '.join(MY\_KBS)}\")

print(f\"[{now()}] 提示：确认含10月累积更新，即覆盖本月绝大部分CVE\")

else:

print(f\"[{now()}] 未检测到10月补丁，请到设置>Windows更新尽快检查\")

print(f\"[{now()}] 结论：补丁号不是重点，重点是‘10月累积更新装没装’+‘在野零日修没修’\")

main()

实际运行输出：

实际运行输出

[2026-10-14 13:07:18] 10月补丁体检启动

[2026-10-14 13:07:18] 本月微软共修复 1413 个CVE，其中 80 个高危

[2026-10-14 13:07:18] 零日 2 个：CVE-2026-96951、CVE-2026-108398

[2026-10-14 13:07:18] 确认在野利用：CVE-2026-96951 —— 最优先处理

[2026-10-14 13:07:18] --- 你该盯的4个CVE ---

[2026-10-14 13:07:18] CVE-2026-96951 [在野]：Windows Shell 网络标记旁路(CVSS 8.8，已在野)

[2026-10-14 13:07:18] CVE-2026-108398：.NET Framework 安全旁路

[2026-10-14 13:07:18] CVE-2026-102866：SharePoint 提权(CVSS 8.1，签名校验不当)

[2026-10-14 13:07:18] CVE-2026-21413：镜像扩展远程代码执行

[2026-10-14 13:07:18] --- 补丁核对 ---

[2026-10-14 13:07:18] 已装 2 个补丁：KB5066835, KB5066836

[2026-10-14 13:07:18] 提示：确认含10月累积更新，即覆盖本月绝大部分CVE

[2026-10-14 13:07:18] 结论：补丁号不是重点，重点是‘10月累积更新装没装’+‘在野零日修没修’

第二个脚本对应上面那个 MOTW 机制——它检查一批下载文件里，哪些\"看起来是下载的却丢了来源标记\"，正是 CVE-2026-96951 造成的那种危险状态。纯本地演示，帮你建立\"贴纸很重要\"的直觉：

脚本二：motw\_guard.py —— 网络标记自查，只读不改

motw\_guard.py - 下载文件\"网络标记(MOTW)\"自查（纯本地，不联网）

import datetime

def now():

return datetime.datetime.now().strftime(\"%Y-%m-%d %H:%M:%S\")

Windows 给从网上下载的文件打一个\"Zone.Identifier\"标记(ZoneId=3 = 互联网)，

后续防护全靠这张\"贴纸\"：SmartScreen、Office受保护视图、宏拦截、附件管理器。

CVE-2026-96951 就是让恶意文件\"没有这张贴纸\"，一次关掉下面所有防护。

DOWNSTREAM = [\"SmartScreen 下载检查\", \"Office 受保护视图\", \"Office 宏拦截\",

\"Smart App Control(Win11)\", \"附件管理器提示\"]

演示：一批文件的\"来源标记\"状态（真实环境读 NTFS 的 Zone.Identifier 数据流）

FILES = {

\"报表.xlsm\": {\"zone\": None}, # 标记丢失 -> 高危

\"合同.docx\": {\"zone\": 3}, # 正常：来自互联网

\"安装包.exe\": {\"zone\": None}, # 标记丢失 -> 高危

\"内部通知.pdf\": {\"zone\": 1}, # 本地/内网

}

def main():

print(f\"[{now()}] MOTW网络标记自查启动，样本 {len(FILES)} 个\")

print(f\"[{now()}] 一张‘贴纸’背后联动 {len(DOWNSTREAM)} 项防护：{'、'.join(DOWNSTREAM)}\")

lost = 0

for name, meta in FILES.items():

z = meta[\"zone\"]

if z is None:

lost += 1

print(f\"[{now()}] [高危] {name} 无网络标记 —— 下载文件却像本地文件，{len(DOWNSTREAM)}项防护全被绕过\")

elif z == 3:

print(f\"[{now()}] [正常] {name} 标记=互联网(3) —— 防护生效\")

else:

print(f\"[{now()}] [提示] {name} 标记=本地({z})\")

print(f\"[{now()}] 结论：{lost} 个文件丢了标记。陌生来源的文件别双击就跑，先另存扫描再开\")

main()

实际运行输出：

实际运行输出

[2026-10-14 13:07:18] MOTW网络标记自查启动，样本 4 个

[2026-10-14 13:07:18] 一张‘贴纸’背后联动 5 项防护：SmartScreen 下载检查、Office 受保护视图、Office 宏拦截、Smart App Control(Win11)、附件管理器提示

[2026-10-14 13:07:18] [高危] 报表.xlsm 无网络标记 —— 下载文件却像本地文件，5项防护全被绕过

[2026-10-14 13:07:18] [正常] 合同.docx 标记=互联网(3) —— 防护生效

[2026-10-14 13:07:18] [高危] 安装包.exe 无网络标记 —— 下载文件却像本地文件，5项防护全被绕过

[2026-10-14 13:07:18] [提示] 内部通知.pdf 标记=本地(1)

[2026-10-14 13:07:18] 结论：2 个文件丢了标记。陌生来源的文件别双击就跑，先另存扫描再开

两个脚本都是纯标准库，复制就能跑。小提示：从公众号正文复制代码，如果报\"非法字符 U+00A0\"，把行内空格重打一遍就好（微信渲染缩进的副作用，脚本本身没问题）。

按风险分四步普通人记三条

最后把行动清单给你。如果你是企业运维或者安全岗，按这个优先级走：第一步，先打在野那个零日（CVE-2026-96951），别等全量测试，它是真在被利用；第二步，铺 Windows 10/11 的 10 月累积更新，覆盖 1102 个系统漏洞的大头；第三步，补 Office 和 SharePoint（尤其那个提权的 CVE-2026-102866）；第四步，才是开发工具、SQL、Exchange 这些按你的实际部署情况排期。

10月补丁动手流程：查更新装累积修在野重启确认补丁到位

普通人记三条就够了：一是这周找个时间点一下\"检查更新\"，装完重启，本月一半以上的风险就没了；二是对陌生来源的文件别双击就跑——尤其那类\"发票\"\"报表\"\"安装包\"，先另存、右键用安全软件扫一下，别让丢失的\"贴纸\"骗过你的防护；三是别被\"1413\"这种大数字牵着走，恐慌没用，把补丁打了、把来源看住了，就比 99% 的人安全。

说到这就差不多了。补丁这东西，做对了是\"无聊的例行公事\"，做错了才上新闻。数字年年涨、漏洞越挖越多，这个时代会一直这样；但你的应对其实可以一直很简单——该打的补丁打上，来路不明的别点，剩下的交给常识。

照例留个互动：你一般多久检查一次系统更新？是自动打还是手动？评论区聊聊，我挑几条下期展开。觉得有用点个在看，转给那位电脑右下角总弹\"更新提示\"却一直点\"稍后\"的朋友——他现在看到，比中招之后看到强。

觉得有用？点个「在看」让更多人看到

紫禁玄科