微軟 10 月安全更新創新高！一次修補 1,414 個漏洞，還有零時差漏洞已遭駭客利用
微軟今年 10 月的 Patch Tuesday（每月例行安全更新） 有兩個值得關注的重點。
第一，這次修補的漏洞數量首次突破千個，創下新紀錄。
第二，為了讓企業更容易了解各個漏洞的風險，微軟決定導入一種新的漏洞分類方式，稱為 「風險群組」（Risk Cohorts）。
簡單來說，就是把「利用條件相同、影響系統也相同」的漏洞歸類在一起，方便企業快速掌握哪些系統目前面臨較高的資安風險。
不過，這種分類方式並不會取代原本的漏洞嚴重程度評分，也不會取代每個 CVE 漏洞的獨立安全公告。
雖然風險群組不太適合直接拿來做完整的漏洞修補優先順序評估，但可以幫助企業更快判斷，目前哪些 IT 系統或設備最需要優先關注。
10 月安全更新數據總整理
這次微軟 10 月的 Patch Tuesday 更新，總共修補了 1,414 個安全漏洞。
依照受影響的產品分類：
- Windows 作業系統： 1,102 個漏洞
- Microsoft Office： 134 個漏洞
- SharePoint Server： 36 個漏洞
- SQL Server： 22 個漏洞
- Exchange Server： 7 個漏洞
從漏洞可能造成的影響來看：
- 權限提升： 677 個，可能讓攻擊者取得更高的系統操作權限。
- 遠端程式碼執行（RCE）： 317 個，可能讓駭客從遠端執行惡意程式碼。
- 繞過安全防護機制： 40 個，可能讓攻擊者避開系統原本的安全限制。
- 阻斷服務攻擊（DoS）： 73 個，可能造成系統或服務無法正常運作。
其中，有 86 個漏洞被列為「重大」（Critical）等級，包括：
- 68 個遠端程式碼執行漏洞
- 14 個權限提升漏洞
- 3 個身分偽造漏洞
- 1 個資料外洩漏洞
另外，還有兩個漏洞在修補程式推出前，相關資訊就已經被公開。
更值得注意的是，其中一個漏洞已經被駭客實際用於攻擊。
CVE-2026-96951：Windows Shell 零時差漏洞，已遭駭客實際利用
這次 10 月更新中，最需要留意的是 Windows Shell 的安全漏洞 CVE-2026-96951。
這個漏洞的 CVSS 嚴重程度評分為 8.8 分，屬於高風險漏洞。
它也是本次更新中，唯一已確認遭到駭客實際利用的零時差漏洞（Zero-day）。
目前還不清楚駭客實際使用了哪些攻擊手法。
不過，根據微軟的說明，這個漏洞涉及「命令注入」（Command Injection）。攻擊者可能透過網路存取系統時，利用這項漏洞繞過原本的安全防護機制。
值得一提的是，微軟特別感謝 Fujitsu（富士通）及 Anthropic 的資安研究人員協助發現這個漏洞。
因此，這個漏洞很可能是在 AI 神經網路技術的協助下被找出來的。
CVE-2026-108398 與 CVE-2026-92707：修補前就已公開的兩個漏洞
除了已經遭到攻擊的零時差漏洞之外，這次還有兩個漏洞值得注意。
因為它們的相關資訊，在微軟正式發布 10 月安全更新之前，就已經對外公開。
這代表駭客理論上有機會在修補程式推出前，先研究並嘗試利用這些漏洞發動攻擊。
這兩個漏洞分別是：
– CVE-2026-108398： 存在於 .NET Framework 的安全漏洞，可能讓攻擊者繞過 Windows Defender Application Control（WDAC，Windows Defender 應用程式控制）的安全防護機制。
– CVE-2026-92707： 存在於第三方 MessagePack-CSharp 序列化元件的漏洞，可能導致阻斷服務（DoS），讓系統或服務無法正常運作。
不過，根據目前的安全公告，這兩個漏洞都還沒有被發現實際遭到駭客利用。
還有哪些漏洞需要特別注意？
除了前面提到的漏洞之外，這次更新還修補了幾個值得企業高度關注的安全問題。
這些漏洞不只可能造成嚴重的資安影響，部分漏洞的利用難度也相對較低。
尤其是以下三個漏洞，因為它們都有可能讓攻擊者執行任意程式碼：
- CVE-2026-65674： 影響 SQL Server。
- CVE-2026-70571： 影響 Exchange Server。
- CVE-2026-70229： 影響 Active Directory Domain Services（AD DS，Active Directory 網域服務）。
對企業來說，如果內部有使用上述系統，建議特別留意相關安全更新，並依照實際風險安排修補作業。
除了微軟，還有哪些軟體需要更新？
不只有微軟會定期發布安全更新，其他大型軟體廠商也會持續修補新發現的漏洞。
Adobe：10 月修補 174 個安全問題
Adobe 在今年 10 月的更新中，總共修補了旗下產品的 174 個安全問題。
其中，ColdFusion 和 Commerce／Magento 都出現了 CVSS 評分高達 10 分（滿分） 的重大漏洞。
這類系統通常會開放外部網路存取，因此特別容易成為駭客鎖定的攻擊目標。
如果企業有使用這些產品，建議盡快確認是否已安裝最新的安全更新。
SAP：10 月公布 20 個安全漏洞
SAP 在 10 月安全公告 中，公布了 20 個安全漏洞。
其中，特別值得注意的是 CVE-2026-89111。
這個漏洞存在於 Cloud SDK for Python，屬於伺服器端請求偽造（SSRF）漏洞。
它的 CVSS 評分同樣高達 10 分，代表風險非常高。
攻擊者可能利用這個漏洞竊取 OAuth 權杖（Token）。
簡單來說，OAuth Token 就像是系統核發的數位通行證，讓應用程式不需要每次輸入帳號密碼，就能存取已獲得授權的服務或資料。
一旦這類權杖被駭客偷走，就可能被拿來冒用合法授權，進一步存取原本不應該取得的系統資源或資訊。
企業該如何降低資安風險？
近年來，隨著 AI 神經網路技術快速發展，資安研究人員發現漏洞的速度也越來越快。
因此，每次安全更新需要修補的漏洞數量，也不斷刷新紀錄。
對企業 IT 和資安團隊來說，現在最大的挑戰已經不只是「有沒有漏洞需要修補」，而是：
面對數量越來越龐大的漏洞，該如何判斷哪些最危險、哪些應該優先處理？
如果只是依照漏洞數量逐一修補，不但會耗費大量時間和人力，也可能忽略真正具有高風險的安全問題。
因此，我們建議企業導入自動化漏洞管理與風險評估平台。
這類工具不只能協助企業找出系統中的安全漏洞，還可以根據實際風險，判斷修補的優先順序，並自動化部分漏洞修復流程。
透過這種方式，企業就能把有限的 IT 資源優先投入最需要防護的地方，不必再被大量的安全更新搞得疲於奔命，同時也能有效降低遭受網路攻擊的風險。
資料來源: Highlights of Microsoft’s October Patch Release | Kaspersky official blog