Microsoft - 卫方智能网络安全资讯平台

微软 10 月修复逾 1400 个漏洞创纪录：Windows Shell 零日已在野利用

2026年10月14日作者卫方智能

微软 10 月补丁日一次修复逾 1400 个漏洞，约 78 个为严重级，创下月度纪录。其中 CVE-2026-96951 可绕过 Mark of the Web 保护，已是本月唯一在野利用的零日，CISA 同日纳入 KEV。

2026年10月12日作者卫方智能

微软 10 月 10 日未等补丁星期二，提前发布 8 枚全部落在云端与托管服务侧的 CVE，其中 Partner Center 的 CVE-2026-96207 因证书校验不当拿下 CVSS 10.0。

2026年10月6日作者卫方智能

微软带外重发 2026 年 9 月 Exchange Server 安全更新 V2，补上 CVE-2026-96940 授权缺陷。该漏洞 CVSS 8.8，已认证攻击者可在同租户内读取他人邮箱与附件，且已安装 9 月原版更新的服务器不受保护。

2026年9月28日作者卫方智能

微软本地部署版 SharePoint Server 的 CVE-2026-65660 被低估为欺骗漏洞，实为 CVSS 8.8 的认证后 RCE。微软 9 月 25 日确认在野利用，CISA 同日列入 KEV 并限 9 月 28 日前修复。

2026年9月22日作者卫方智能

微软披露 Azure AI Foundry 关键功能缺失认证漏洞 CVE-2026-85889，CVSS 10.0，未认证攻击者可经网络提权；同批修复 M365 Copilot 命令注入与 Azure 数据库越权等缺陷，评分 9.6 至 9.9，均已在服务端缓解。

2026年9月15日作者卫方智能

微软 9 月 14 日紧急发布带外更新 KB5129194/5129195/5129236/5129235/5129237，修复 9 月 8 日安全更新引入的远程桌面服务不稳定、Hyper-V 与 Linux 虚拟机共享目录失效、USB Audio Class 1.0 多声道设备无声等问题。

2026年9月15日作者卫方智能

微软 9 月 13 日披露针对 Microsoft 365 的活跃攻击：攻击者自 2026 年 5 月起冒充内部 IT 服务台，通过电话与短信诱导员工在仿冒登录页重新注册通行密钥或 MFA，随后注册自有认证方式建立持久化，并经 Graph API 高速外传云数据。

2026年9月12日作者卫方智能

研究员 Nightmare Eclipse 公开 Windows Defender 零日利用 ShieldCrash，可绕过微软 9 月对 CVE-2026-69414 的修复，在已打补丁的 Windows 上以 SYSTEM 权限读取任意文件。

2026年9月9日作者卫方智能

微软9月补丁日修复973个漏洞创下历史纪录，Windows更新栈与ALPC两个提权零日遭在野利用并列入CISA KEV目录，DNS Server 9.8分RCE漏洞需优先修复。

2026年9月7日作者卫方智能

Microsoft Exchange 认证绕过漏洞 CVE-2026-62911（CVSS 8.0）补丁已发布近一个月，公开 PoC 使攻击门槛大幅降低，Shadowserver 监测到 21899 个暴露 IP 仍未修复，德国 85% 本地部署未打补丁。

2026年9月6日作者卫方智能

微软针对 Windows 路由和远程访问服务（RRAS）发布带外热补丁，修复 CVE-2026-25172、CVE-2026-25173 与 CVE-2026-26111 三处远程代码执行漏洞，整数溢出可致内存破坏，低权限攻击者可远程执行任意代码，企业应尽快部署。

2026年9月5日作者卫方智能

微软 9 月 3 日披露 Azure AI Language Authoring 认证缺失漏洞 CVE-2026-70352 与 Entra ID B2C 授权绕过漏洞 CVE-2026-83711，双双 CVSS 10.0，服务器端修复已部署，客户无需操作但应核查活动日志。