微软在10月份修复了1400+个安全漏洞

NERCIS
NERCIS

信息安全国家工程研究中心

2026年10月19日 17:30
北京

去阅读

据CNNVD通报，近日，微软官方发布了多个安全漏洞的公告，全部为影响微软产品本身的漏洞，共1423个。微软Microsoft Windows、Microsoft Windows Credential Manager、Microsoft Windows SMB Server、Microsoft Windows Performance Monitor等多个产品和系统受漏洞影响。

具体影响范围可访问微软官方网站查询：

https://portal.msrc.microsoft.com/zh-cn/security-guidance

微软此次更新创下全新历史峰值，一举打破今年7月、9月刚刚创造的纪录。作为对比，2025年全年微软发布的安全更新总量，仅仅刚超过1100个。

2026年10月这批补丁中，包含1个已经被黑客积极利用的漏洞（CVE-2026-96951），以及2个公开披露的零日漏洞（CVE-2026-108398、CVE-2026-92707）。

在野活跃漏洞：CVE-2026-96951｜Windows Shell安全功能绕过

CVSS评分：8.8，攻击门槛低，无需认证、无需系统权限即可发起攻击。

一旦被利用，会造成恶意软件暴露、数据泄露、系统完整性受损、业务中断等风险。

CVE-2026-96951 是一种存在于 Windows Shell 中的命令注入漏洞。远程攻击者可以通过专门用于利用该漏洞的文件来触发该漏洞。攻击者可以通过钓鱼邮件、恶意网站、即时消息投递特制文件，只要用户产生简单交互就能触发漏洞。这个漏洞非常适合作为大型攻击链的初始入口，它会压制系统安全告警，让恶意内容轻松绕过防护检测。

零日漏洞1：CVE-2026-108398｜.NET Framework安全绕过

CVSS评分8.8，属于已公开披露、暂未被实际攻击的零日漏洞。

经过认证的低权限攻击者，能够利用不受信任的程序集搜索路径，绕过Windows Defender应用程序控制（WDAC）。

该漏洞在入侵后攻击场景风险极高，本地访问权限的攻击者无需用户参与就能突破安全限制。成功利用会破坏系统安全、泄露企业敏感数据、削弱终端防护，干扰核心业务运转。

目前暂无临时缓解方案，微软标记为“更可能被利用”，建议管理员第一时间完成修补。

零日漏洞2：CVE-2026-92707｜MessagePack-CSharp拒绝服务漏洞

漏洞根源是.NET顺序内存分配管控缺陷，未授权攻击者可以发起攻击，导致网络服务瘫痪。

目前，微软官方已经发布了漏洞修复补丁，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。

微软官方补丁下载地址：

https://msrc.microsoft.com/update-guide/en-us

来源：CNNVD安全动态、infosecurity-magazine

往期阅读