微軟（Microsoft）於 10 月 13 日發布 2026 年 10 月例行修補更新 Patch Tuesday，修補逾 1,400 個漏洞，創下單次更新修補數量新高。其中，1 個零時差漏洞已遭實際利用，另有 2 個零時差漏洞在修補前已公開揭露。
單月修補量再創紀錄
據外媒報導，本月修補的漏洞數量超過 1,410 個。依類型區分，權限提升漏洞最多，逾 670 個；其次為遠端程式碼執行漏洞，逾 300 個；資訊洩漏漏洞則約 250 個。另有約 70 個漏洞列為嚴重（Critical）等級。依產品區分，Windows 有 1,102 個漏洞，Office 有 134 個。
微軟上月已修補近 1,000 個漏洞。資安業者 Tenable 資深研究工程師 Satnam Narang 指出，微軟今年已修補逾 4,000 個通用漏洞編號（CVE）。
一個零時差漏洞已遭實際利用
CVE-2026-96951 是 Windows Shell 指令注入（command injection）漏洞，通用弱點評分系統（CVSS）評分為 8.8 分。
攻擊者可透過網路利用此漏洞繞過 Mark of the Web（MOTW）防護。
微軟表示，攻擊者無法強迫使用者查看惡意內容，必須誘使使用者點擊連結或開啟惡意附件，才能利用此漏洞。目前尚不清楚具體攻擊手法、攻擊者身分及受害對象。美國網路安全暨基礎設施安全局（CISA）已將此漏洞列入已知遭利用漏洞（KEV）目錄，並要求聯邦機關於 10 月 16 日前完成修補。
另有兩個零時差漏洞已公開揭露
CVE-2026-108398 是 .NET Framework 的安全功能繞過漏洞，起因是不受信任的搜尋路徑。微軟指出，
通過驗證的攻擊者可在受影響系統中放置特製的 .NET 組件，並將其註冊為受保護程序可載入的組件，藉此繞過 Windows Defender 應用程式控制（WDAC）限制並執行程式碼，全程不需使用者介入。
資安業者 Action1 總裁暨共同創辦人 Mike Walters 表示，這項漏洞在入侵後的攻擊中特別危險，因為已取得本機存取權限的攻擊者可利用它繞過安全限制。
CVE-2026-92707 則是 MessagePack-CSharp 的阻斷服務（denial of service）漏洞，原因是循序記憶體配置控管不當。未經授權的攻擊者可透過網路觸發此漏洞，導致服務中斷。
AI 加快漏洞發現，修補排序比數量更重要
漏洞通報計畫 Zero Day Initiative（ZDI）威脅意識主管 Dustin Childs 表示，單一版本包含數百個 CVE，過去並不常見，如今已成常態。他指出，AI 加快攻防雙方發掘漏洞的速度，但並未憑空創造漏洞，而是縮短漏洞從出現到被發現的時間。漏洞發現速度的增幅又高於攻擊者利用漏洞的速度，因此，若團隊只依 CVE 數量安排修補優先順序，可能會把資源投入到不該優先處理的漏洞。
面對龐大的修補量，微軟本月也推出「風險分群」（risk cohorts）機制，將評估方式相近的 CVE 歸為一組，共分為 15 組。微軟強調，分群僅是評估起點，不能取代個別判斷；仍須逐一檢視各 CVE 是否已遭利用、嚴重程度、攻擊途徑、是否需要使用者互動，以及各產品的相關指引。
部分版本終止更新
微軟同日表示，Windows 11 24H2 家用版與專業版，以及 Windows 10 Enterprise LTSB 2016，已於 10 月 13 日終止支援，本月是這些版本的最後一次更新。Windows 11 23H2 企業版、教育版與 IoT 企業版則將自 11 月起停止接收安全更新。
修補與升級修補與升級建議作法：
- 優先安裝 10 月更新，修補已遭實際利用的 CVE-2026-96951。
- 安排修補優先順序時，應考量漏洞是否已遭利用、嚴重程度、攻擊途徑及是否需要使用者互動，不應只看 CVE 數量。
- 將微軟的風險分群機制作為評估起點，並逐一檢視個別 CVE。
- 盤點仍使用已終止更新版本的裝置，並規劃升級。
本文轉載自 BleepingComputer、TheHackerNews。