微软在其2026年10月的安全更新中解决了1,413个漏洞，包括一个被利用的零日漏洞、两个公开披露的零日漏洞和75个关键漏洞。
本月按利用技术划分的主要风险类型是特权提升，修复了677个补丁（48%），远程代码执行（RCE）修复了317个补丁（22%），信息泄露修复了254个补丁（18%）。
本月Windows获得了最多的补丁，共1,123个，其次是ESU的977个和Microsoft Office的179个。
2026年10月攻击面分析
本次发布中，由预览窗格触发的利用占主导地位，共有23个CVE涉及Office应用程序，包括Excel、PowerPoint和Visio。这些缺陷需要最少的用户交互；受害者只需在阅读窗格或文件资源管理器预览中查看恶意文件，就可以消除许多企业依赖的传统点击妥协障碍作为用户培训的后盾。攻击面相当大；任何通过下载接收武器化文档的用户都可以通过选择文件来触发代码执行。这类缺陷历来吸引网络钓鱼运营商和初始访问经纪人，因为它将文档传递转换为可靠的代码执行，而无需启用宏或用户打开文件。
本月出现的未经身份验证的网络可达RCE漏洞涉及15个CVE，涵盖动态主机配置协议（DHCP）服务器、Microsoft快速UDP互联网连接（QUIC）、PostScript打印驱动程序和PDF处理组件。这些缺陷允许远程攻击者在没有身份验证的情况下执行代码，使其成为横向移动和初始网络妥协的高价值目标。DHCP服务器尤其是设计上部署在内部网络中，并信任任何请求地址的客户端的入站流量。CVE-2026-100219和CVE-2026-105016在Microsoft QUIC中代表了使用QUIC传输的任何服务的暴露，这在现代网络基础设施中越来越普遍。
身份平台组件本月存在关键漏洞，RCE和欺骗缺陷影响Active Directory域服务（AD DS）和Active Directory联合服务（AD FS）。CVE-2026-70229在AD DS中启用对域控制器的RCE，而CVE-2026-108131和CVE-2026-96222在AD FS中存在欺骗风险，可能导致联合身份验证绕过。这些组件的妥协可能会在整个域中传播或打破联合身份提供者之间的信任边界。类似的身份结构缺陷历来受到寻求对企业环境进行持久访问的高级对手的攻击。
仅Microsoft Outlook本月就占据了五个关键RCE漏洞，包括CVE-2026-70242和CVE-2026-70291，进一步强化了电子邮件作为持久高价值攻击向量的地位。Outlook作为大多数企业环境中的默认邮件客户端，并与Exchange和Microsoft 365服务深度集成，这意味着武器化消息几乎可以到达每位员工。
Windows Shell中的被利用零日漏洞
CVE-2026-96951是Windows Shell中的一个重要安全功能绕过漏洞，CVSS评分为8.8。微软确认该缺陷正在被实际利用。成功利用允许攻击者绕过网络标记（MOTW）防御，这是触发Office文档中的受保护视图和下载可执行文件的SmartScreen警告的信任边界机制。
攻击向量是社会工程：攻击者通过电子邮件、即时消息或网络下载发送一个特别制作的文件，用户必须打开或点击恶意内容。与预览窗格漏洞不同，此缺陷需要明确的用户操作。被绕过的安全控制正是旨在在该操作变得危险之前警告用户的控制。一旦MOTW被剥离，依赖于区域标签的下游防御，包括SmartScreen、Office受保护视图和应用程序保护，将不再适用。
Windows Shell存在于每个Windows终端上，因此暴露的人群实际上是整个Windows安装基础。实际影响是，通过网络钓鱼或水坑攻击活动传递的有效载荷可以在没有MOTW意识的防御通常施加的摩擦的情况下执行。MOTW绕过缺陷历来吸引网络钓鱼运营商和初始访问经纪人，因为它减少了目标在有效载荷执行之前必须关闭的警告对话框的数量。
表1. Windows Shell中的被利用零日漏洞
严重性 CVSS评分 CVE 描述 是否需要操作？
重要 8.8 CVE-2026-96951 Windows Shell安全功能绕过漏洞 是
.NET Framework中的公开披露漏洞
CVE-2026-108398是.NET Framework中的一个重要安全功能绕过漏洞，CVSS评分为8.8。微软确认该漏洞已被公开披露。具有本地访问权限的经过身份验证的攻击者可以在受影响的系统上放置一个特别制作的.NET程序集，并将其注册为由受保护的进程加载。成功利用绕过Windows Defender应用程序控制（WDAC）强制执行，允许在受保护的进程上下文中执行未经授权的代码。无需用户交互。
攻击面受到本地经过身份验证访问要求的限制，但影响范围显著。WDAC是企业专门部署的信任边界，旨在防止在高价值系统（如管理工作站、自助服务终端和加固服务器）上执行未签名或未批准的二进制文件。允许攻击者在WDAC保护的进程内运行任意代码的绕过完全否定了该主机的控制，将本地经过身份验证的立足点转化为无限制的代码执行，尽管存在明确的应用程序白名单策略。
几乎每个Windows系统上都安装了.NET Framework。