微软10月补丁星期二修复 1000 多个漏洞，含3个0day
综合编译
综合编译
代码卫士
2026年10月14日 16:33
北京
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
微软十月补丁星期二共修复创纪录的1141个漏洞，其中一个已遭活跃利用，另外两个遭公开。在这些漏洞中，70个是“严重”级别，其中57个是远程代码执行漏洞、11个是提权漏洞以及2个是欺骗漏洞。
总体来看，微软修复了：
- 677个提权漏洞
- 40个安全特性绕过漏洞
- 317个远程代码执行漏洞
- 254个信息泄露漏洞
- 73个拒绝服务漏洞
- 28个欺骗漏洞
已遭活跃利用的 0day
CVE-2026-96951是Windows Shell 安全特性绕过漏洞，已遭活跃利用。早在2024年，攻击者已通过多种方法绕过 MotW 防护措施。本漏洞虽然与 Shell 有关，但造成的结果仍然是一样的。用户应尽快测试并部署补丁。
已公开的0day
CVE-2026-108398是 .NET Framework 安全特性绕过漏洞，可导致攻击者规避 Windows Defender Application Control (WDAC) 机制。CVE-2026-92707是位于 MessagePack-Csharp 中的一个拒绝服务漏洞，之前由第三方发布，微软本次纳入且并未提到已遭活跃利用。
值得关注的其它漏洞
CVE-2026-102866是位于 Microsoft Office SharePoint 中的一个提权漏洞。虽然本次修复了多个 SharePoint 漏洞，但该漏洞是唯一一个“严重”级别（CVSS 8.1分）且可遭未经身份认证攻击者利用的漏洞。该漏洞是一个密码签名验证不当漏洞，获得目标用户有效验证令牌的攻击者均可修改该漏洞，将其提交至服务器并认证为该用户。攻击者唯一需要做的是需要先获取令牌，而获取的方法有很多。
CVE-2026-65674是位于微软 SQL 服务器中的RCE 漏洞。该漏洞是本次修复的CVSS评分最高（8.8）的 SQL 服务器漏洞。该漏洞是对不受信任数据的反序列化漏洞。经身份认证的攻击者连接到受影响的 SQL 服务器并发送特殊构造的请求在服务器上运行代码，即可实施利用，无需任何用户交互。用户应尽快排查直接连接到互联网的任何 SQL 服务器。
CVE-2026-70571是位于微软 Exchange Server 上的RCE 漏洞。从技术角度来讲，该漏洞是一个蠕虫漏洞。微软表示，“利用要求攻击者深入了解目标环境且不一定会成功。”虽然措辞晦涩，但凑齐利用该漏洞攻击 Exchange 服务器所需的各种条件的可能性微乎其微。
代码卫士试用地址：https://sast.qianxin.com/
开源卫士试用地址：https://oss.qianxin.com/
推荐阅读
原文链接
https://www.zerodayinitiative.com/blog/2026/10/13/the-october-2026-security-update-review
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 \"赞”
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论