2026 年 10 月 13 日，微软发布 10 月月度安全更新，一次性修复逾 1400 个漏洞，其中约 78 个为严重级，机构 Zero Day Initiative 统计微软本月新增 CVE 编号达 1415 个，规模超过该公司以往任何一个月。最需要立即处理的是 Windows Shell 的安全功能绕过漏洞 CVE-2026-96951，它是本批次中被列为在野利用的唯一零日，CISA 已同日将其列入 KEV 目录。
事件概述
本次更新覆盖 Windows 及系统组件、Office 与 Office 组件、.NET 与开发工具、SharePoint、SQL Server 与 Dynamics、Exchange Server、Azure 与云服务等。微软同时提示一处已公开披露但尚未被利用的 .NET Framework 安全功能绕过漏洞 CVE-2026-108398，攻击者可借它绕过 Windows Defender 应用程序控制（WDAC）的强制策略。
技术细节
CVE-2026-96951 属于 CWE-77 命令注入，实际影响是绕过 Mark of the Web（MotW）防线。攻击者把特制文件通过邮件或即时通讯发给目标，用户一旦交互，文件会以「本地自建文件」的身份打开：没有安全警告对话框、不进入受保护视图、宏也不会被拦截。ZDI 指出，一个能同时关掉多道控件的 MotW 绕过，价值远高于它的评分本身。
受影响范围覆盖 Windows 10 21H2 至 Windows 11 26H1（28000.2956），以及 Windows Server 2012 R2 至 2025。CVSS v4.0 基础分 8.4，KEV 条目给出 8.8。
影响评估
该漏洞需要用户点击或打开文件，属于典型钓鱼式投递，但绕过 MotW 意味着企业长期依赖的「打开前会弹警告」这道心理防线失效，后续常被用作投放加载器与勒索软件的前置步骤。本月的量级同样值得关注：ZDI 引用的行业数据显示，月度 CVE 披露量两年内增长约 145%，2026 年全年总量有望超过 2025 年的 49979 个，AI 辅助漏洞发现被普遍认为是推手之一。
除零日外，本月还有几个值得提前处理的条目：Outlook 预览窗格的堆溢出 RCE（CVE-2026-70242，CVSS 9.8，仅渲染邮件即可触发，无需打开）、微软 QUIC 的堆溢出（CVE-2026-105016，CVSS 9.8，未认证、单个构造报文即可）、SQL Server 不可信数据反序列化 RCE（CVE-2026-65674，CVSS 8.8）、SharePoint 签名校验不当导致的提权（CVE-2026-102866，CVSS 8.1，未认证攻击者拿到有效 proof token 后可伪造身份）。
修复建议
# 优先级建议
# 1) 立即部署 Windows 累积更新，修复 CVE-2026-96951（KEV 限期 10/16）
# 2) 同步更新 Exchange、.NET、SQL Server 与 SharePoint
# 3) 无法即时打补丁的主机，先在邮件网关与文件共享层
# 拦截可执行文件与压缩包，并审计 WDAC 加载事件
wmic qfe list brief /format:table | findstr /i "KB5126"打补丁之外，应关注未打补丁主机上的可疑程序集加载，并复核 WDAC 受保护环境中的加载日志。