事件概述
微软把 10 月的安全更新提前放了出来。10 月 10 日，MSRC 一次性发布 8 枚 CVE，全部落在云端与托管服务侧，没有等到本月第二个星期二的常规补丁日。分数分布值得单看：一枚满分，四枚落在 9.6 到 9.9 之间。
技术细节
Partner Center 满分：证书校验不当
CVE-2026-96207 是本次唯一拿到 CVSS 10.0 的漏洞，归类为证书验证不当（CWE-295）。向量为 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N：网络可达、无复杂度、无需权限、无需用户交互、作用域变更，机密性与完整性均为高影响。
通俗地说，攻击者可以伪造证书冒充可信对端，从而绕过认证拿到不该有的权限，全程不需要任何账号。微软给出的可利用性评级是「不太可能被利用」，但满分本身意味着一旦被利用，影响边界是整个微软合作伙伴体系。官方同时提供了缓解措施：无法立即修复时可手动开启严格证书校验。
其余高分辨率清单
- Microsoft Bookings — CVE-2026-94510，CVSS 9.9：用户可控键导致的授权绕过，未授权攻击者可越权提升权限；
- Azure App Service — CVE-2026-77900，CVSS 9.8：关键功能缺失认证，未授权即可通过网络远程执行代码；
- Microsoft Dataverse — CVE-2026-88131，CVSS 9.8：不受信任数据反序列化，未授权远程代码执行；
- Azure SRE Agent — CVE-2026-69435，CVSS 9.6：缺失授权，已授权攻击者可越权提权；
- Azure API Center — CVSS 8.7（作用域变更）、Azure Event Grid — CVSS 7.7（完整性受影响）；
- Exchange Server — CVE-2026-96940，CVSS 8.8：弱授权导致的同租户邮箱越权读取。
其中 Exchange 那一枚是整批里唯一被 MSRC 标为「更可能被利用（Exploitation More Likely）」的项。虽然分数排不进前列，但评级意味着攻击者已在找这条路；该漏洞此前已有单独报道，本文不再展开，仅作批次核对。
影响评估
按功能分组看，Azure 系四项、商业应用系三项（Dataverse、Bookings、Partner Center）、Exchange 一项，覆盖面比单看分数更值得注意。这批全部是托管服务，服务端修复由微软完成，用户侧通常不需要重启或安装补丁，但控制台、客户端组件与自建集成可能需要跟着更新。
满分漏洞出在合作伙伴体系而非单点产品，意味着攻击者可越权的对象是合作伙伴账号及其可触达的客户数据，具备向供应链下游传导的可能。
修复建议
- 核对 MSRC 十月更新指南页的构件清单，确认所依赖的客户端组件与自建集成是否有新版本；
- Partner Center 暂时无法修复的环境，按官方文档开启严格证书校验；
- 面向公网部署 Exchange 的组织，把 CVE-2026-96940 的修复排在本批次最前面；
- 对 Dataverse 与 Azure App Service 相关接口做未认证访问审计，检索会话与令牌的异常越权痕迹；
- 10 月 13 日同一天还有 Windows 11 24H2 家庭与专业版服务期截止、Server 2012/2012 R2 扩展支持末年与 Exchange 2016/2019 的 ESU 到期三件事，建议与本次更新一并排期。