Microsoft 於 2026 年 10 月發布的 Patch Tuesday 修補程式版本處理了 1,413 個 Microsoft CVE，距離 9 月創下前次 974 個的高點僅一個月，就再度刷新紀錄。這大約是月增 45%。此次發布涵蓋 Windows、Microsoft 365 與 Office 應用程式、SharePoint Server、SQL Server、Exchange Server、Azure、Defender，以及開發工具。Microsoft 也重新發布了一個非 Microsoft 的 CVE。
其中一項漏洞已遭到積極利用：CVE-2026-96951，這是 Windows Shell 中可繞過安全功能的漏洞。第二項是 .NET Framework 中的 CVE-2026-108398，已遭公開揭露，因此即使 Microsoft 尚未觀察到攻擊，相關技術細節也已可取得。兩者的嚴重性評等皆為 Important，這也再次說明了為什麼漏洞利用狀態應優先於單看嚴重性標籤。
面對超過 1,400 項 Microsoft CVEs 需要評估，IT 團隊需要採用以風險為基礎的部署方式，先從攻擊者最可能利用的漏洞，以及一旦遭到入侵會造成最大損害的系統著手。
Microsoft 2026 年 10 月修補程式細項整理
在 1,408 個具嚴重性評等的 CVE 中，Microsoft 將其中 78 個評為重大、1,329 個評為重要，以及 1 個評為中等。全部 1,408 個都需要客戶採取行動，也就是安裝更新。
類別 | 2026 年 10 月 |
Microsoft 已處理的 CVE | 1,413 |
重大 | 78 |
重要 | 1,329 |
中等 | 1 |
需要客戶採取行動的 CVE | 1,408 |
遭到積極利用的零時差漏洞 | 1 |
已公開揭露的漏洞 | 1 |
重大遠端程式碼執行漏洞 | 65 |
重新發布的非 Microsoft CVE | 1 |
權限提升和遠端程式碼執行約占此次發布內容的 70%：
弱點類型 | 數量 |
權限提升 | 673 |
遠端程式碼執行 | 315 |
資訊揭露 | 252 |
阻斷服務 | 72 |
安全性功能繞過 | 40 |
竄改 | 29 |
偽冒 | 27 |
權限提升漏洞可能會將受限存取變成對系統的完全控制，而遠端程式碼執行漏洞則可能提供這種初始存取。單一次發行版本中，這兩種類型的漏洞就接近 1,000 個，IT 團隊需要了解哪些受影響的系統暴露在風險中，以及哪些系統持有特權存取。
弱點集中分布的位置
Windows 占本月 CVE 總數的四分之三以上。Office 和 SharePoint Server 合計另外增加 170 項，而開發工具則分散在 60 個獨立更新中，共占 61 項。
產品系列 | 已修補的漏洞 | 獨立更新 |
Windows | 1,102 | 39 |
Office | 134 | 11 |
開發人員工具 | 61 | 60 |
SharePoint Server | 36 | 1 |
Sonstige | 32 | 25 |
SQL Server | 22 | 8 |
Azure | 15 | 20 |
Exchange Server | 7 | 8 |
Defender | 4 | 3 |
Edge | 0 | 1 |
總計 | 1,414 | 176 |
Microsoft 針對這次發佈所公布的數字略有差異：發行說明列出 1,413 個 CVEs，產品系列細分加總為 1,414，而已公布的 CVE 清單則包含 1,411 個。本文採用 1,413，也就是 Microsoft 發行說明中的數字。
一個遭利用的零時差漏洞與一個已公開揭露的漏洞
Microsoft 本月已將兩個 CVE 標記為具有特殊可利用性指定。兩者皆為安全功能繞過漏洞，嚴重性評等為 Important。
CVE | 受影響元件 | 嚴重性 | 漏洞利用狀態 | 重要原因 |
CVE-2026-96951 | Windows Shell | 重要 | 偵測到漏洞利用 | 讓攻擊者得以繞過 Mark of the Web，也就是 Windows 針對從網際網路下載檔案所觸發警告與限制的保護機制。 |
CVE-2026-108398 | .NET Framework | 重要 | 已公開揭露 | 可讓已通過驗證的攻擊者繞過 Windows Defender Application Control，並在受保護的處理程序內執行程式碼。 |
安全功能繞過漏洞很少能單獨完成攻擊。它們通常會與另一個漏洞同時發揮作用，例如遠端程式碼執行或權限提升，方法是移除原本會阻擋或警告下一步的防護措施。修補這些漏洞可封鎖攻擊者可能已在利用的其中一個步驟。
無論 Important 評級為何，CVE-2026-96951 都應優先在每一台 Windows 端點上完成修補。一旦 Mark of the Web 被繞過，透過電子郵件或聊天傳送的惡意檔案就可能在沒有使用者平常會看到的警告情況下開啟。使用者仍必須自行開啟該檔案，因此這個弱點很自然會與網路釣魚攻擊結合，也會和本文後續提到的檔案型漏洞相互搭配。
CVE-2026-108398 尚未遭到利用，但由於已被公開揭露，相關技術細節也已經可取得。這也提高了遭到利用的可能性。攻擊者必須先在系統上擁有帳戶，因此對於仰賴 Windows Defender Application Control 或類似允許清單機制來控制已經取得立足點之入侵者的組織來說，這項更新尤其重要。
截至本文發布時，這兩個 CVE 都尚未出現在 CISA 的 Known Exploited Vulnerabilities 目錄中。這類標示後通常會在幾天內新增項目，因此規劃部署時，請記得查看該目錄。
下一步應優先處理的重大漏洞
Microsoft 本月將 78 項漏洞評為重大。其中 65 項為遠端程式碼執行漏洞，其餘 13 項則是權限提升或偽裝漏洞。不要將這些漏洞視為同一類處理，而是應根據受影響的基礎架構、其曝險程度，以及一旦遭入侵會讓哪些風險暴露出來，來決定處理優先順序。
Windows DHCP 與面向網路的服務
五個重大遠端程式碼執行漏洞影響 Windows DHCP Server：
CVE-2026-96934
CVE-2026-88117
CVE-2026-88120
CVE-2026-88119
CVE-2026-88171
DHCP Server 通常可從內部網路區段存取，因此常成為入侵者橫向擴大到整個網路的樞紐點。此次發布也包含 DHCP Client 中一項重大遠端程式碼執行漏洞（CVE-2026-70250）。
本月還有幾項其他面向網路的服務存在重大遠端程式碼執行漏洞：
CVE | 受影響元件 |
CVE-2026-105016、CVE-2026-100219 | Microsoft QUIC |
CVE-2026-70187 | 遠端桌面閘道 |
CVE-2026-108460、CVE-2026-100202 | 訊息佇列 |
CVE-2026-69789 | RMCAST |
QUIC 是 HTTP/3 和其他網路傳輸的基礎，因此這些漏洞對面向網際網路的 Windows Server 工作負載影響最大。遠端桌面 Gateway 位於許多遠端存取部署的邊界。請找出這些服務在哪些地方已啟用，並將可從外部連線的系統移到處理佇列的最前面。
身分與憑證基礎架構
控制驗證、同盟，以及憑證註冊的服務也受到重大漏洞影響：
CVE | 受影響元件 | 類型 |
CVE-2026-70229 | Active Directory Domain Services | 遠端程式碼執行 |
CVE-2026-69802 | 網路裝置註冊服務 (NDES) | 遠端程式碼執行 |
CVE-2026-108131, CVE-2026-96222 | Active Directory 同盟服務 (AD FS) | 偽冒 |
每一項在本次發佈中都只出現一次，但每一項都會影響高價值目標。若網域控制站或憑證註冊服務遭到入侵，攻擊者就可能將觸角伸向整個環境。AD FS 偽冒可能會破壞許多組織所依賴的同盟單一登入信任機制。網域控制站、AD FS 伺服器和 NDES 伺服器，應列為零時差漏洞遭利用後最先評估的伺服器之一。
Exchange Server 與部署基礎架構
Exchange Server（CVE-2026-70571）和 Windows Deployment Services（CVE-2026-88174）各自都有一項重大遠端程式碼執行漏洞。SharePoint Server 有一項重大權限提升漏洞（CVE-2026-102866）。
Exchange 和 SharePoint 通常存放敏感的企業資料，並連接到其他內部資源。Deployment Services 可能會影響每個仰賴它進行映像部署或佈建的端點。請優先部署於對外曝露，或可存取高價值資料的系統。
Hyper-V 和 VBS Enclave
本月更新包含 Hyper-V 中可在主機層級執行程式碼的漏洞，以及 Windows Virtualization-Based Security (VBS) Enclave 和核心核心元件中的重大權限提升漏洞。
CVE | 受影響元件 | 類型 | 營運考量 |
CVE-2026-102214、CVE-2026-105733 | Windows Hyper-V | 遠端程式碼執行 | 有漏洞的主機可能會讓其上的每個客體 VM 都面臨風險。 |
CVE-2026-108399 | Windows Hyper-V | 權限提升 | 可能會在初始存取後，延長攻擊者對主機的控制。 |
CVE-2026-108471, CVE-2026-108130, CVE-2026-102211, CVE-2026-96914, CVE-2026-88074 | VBS Enclave | 權限提升 | VBS Enclave 用於保護虛擬化工作負載中的敏感資料與機密。 |
CVE-2026-96913, CVE-2026-88073, CVE-2026-83917, CVE-2026-62840 | Windows 核心、圖形核心、ALPC、Linux 核心（WSL） | 權限提升 | 若再搭配初始存取弱點，這些漏洞可能讓攻擊者取得 SYSTEM 或 root 權限。 |
Hyper-V 主機通常支援對可用性要求嚴格的正式作業工作負載。如果立即全面部署可能造成服務中斷，請採用分階段測試並協調維護時段，但也別讓這些時段拖延主機層級的修補太久。
Microsoft 365 和 Office 應用程式
Office 應用程式占了本月 34 項重大遠端程式碼執行漏洞：
應用程式 | 重大 RCE 漏洞 |
Excel | 19 |
Outlook | 5 |
PowerPoint | 4 |
Word | 3 |
Visio | 3 |
Excel 特別值得注意，因為單一應用程式中高度嚴重漏洞的集中程度異常地高。惡意文件仍然是最常見、由網路釣魚驅動而入侵使用者環境的途徑之一。本月這項風險更高，因為遭利用的 Mark of the Web 繞過手法可能會移除使用者平常在下載檔案上會看到的警告。Visio 在修補優先順序清單中的排名通常低於 Word、Excel 或 Outlook，但它帶有相同的文件型風險。
媒體、圖形和列表機驅動程式
10 項重大遠端程式碼執行漏洞影響媒體、圖形與文件轉譯元件，包括 Media Foundation、GDI+、Codecs、Windows PDF、Text Shaping，以及 Raw Image Extension（CVE-2026-96202 和 CVE-2026-96943）。這些漏洞可透過開啟特製的影像、影片、字型或 PDF 來觸發，無須巨集或指令碼。
PostScript Printer Driver 另有三個重大遠端程式碼執行弱點：CVE-2026-70153、CVE-2026-70147 和 CVE-2026-108467。列表機驅動程式部署相當廣泛，也很容易在修補週期中被忽略，因此請確認它們已和此次發布中的其他項目一起納入相同的部署流程。
如何排定 2026 年 10 月修補程式的優先順序
沒有一套固定時程適用於所有環境。可先以這些層級作為起點，再根據曝險程度、業務影響與測試需求進行調整。
請在 72 小時內修補
每個 Windows 端點上的 CVE-2026-96951（Windows Shell），接著是 CVE-2026-108398（.NET Framework）
Windows DHCP 伺服器與 DHCP 用戶端
遠端桌面閘道、NDES 和 Active Directory Domain Services
用於面向網際網路之 Windows Server 工作負載的 Microsoft QUIC
Exchange Server 和 SQL Server，從可由外部存取的系統或持有敏感資料的系統開始
Hyper-V 主機
任何後續新增至 CISA KEV 目錄或標示為「更可能遭到利用」的 CVE
在 1 到 2 週內修補
Office 應用程式，從 Excel 開始，接著是 Outlook、PowerPoint、Word 和 Visio
核心與 VBS Enclave 權限提升弱點
媒體、圖形和文件轉譯元件，以及 PostScript Printer Driver
開發人員工作站上的 Visual Studio、Visual Studio Code 和 .NET
Azure 和 Entra 權限提升漏洞
風險曝險程度仍應優先於預設時程。經常開啟外部文件的使用者，可能需要更早更新 Office。
定期修補週期
在曝露程度有限的元件中，屬於重要等級的權限提升與資訊洩露漏洞
僅限本機存取，以及在實體存取受限系統上的裝置驅動程式問題
已部署補償控制措施的非網際網路對外系統
值得注意的第三方更新
Microsoft 本月僅重新發布一個非 Microsoft 的 CVE，低於 9 月的 25 個：CVE-2026-21413，這是一個 Raw Image Extension 遠端程式碼執行弱點，功勞歸於 Cisco Talos。它影響的元件與上文提到的兩個由 Microsoft 擁有的重大 Raw Image Extension 弱點（CVE-2026-96202 和 CVE-2026-96943）相同，因此這三者都可以作為單一修復工作來處理。
Microsoft Edge 在本次發佈中沒有新增任何 CVE。團隊仍應依照自身排程確認瀏覽器、開發人員工具及第三方應用程式的更新，並將它們納入與作業系統更新相同的漏洞管理流程中。即使 Windows 修補已是最新狀態，分開的流程仍可能留下盲點。
為什麼 10 月 Patch Tuesday 對 IT 團隊至關重要
10 月的發佈帶來兩項超出任何單一 CVE 範圍的營運問題。
1. 記錄量過大，使人工分類處理變得不切實際
這已是連續第二次刷新紀錄的發布，而單月 CVE 數量從 974 跳升到 1,413，幾乎沒有留下人工審查的空間。團隊需要迅速知道哪些裝置執行受影響的軟體、哪些漏洞正遭到利用，以及哪些系統支援身分、遠端存取或關鍵工作負載。這取決於準確的硬體和軟體詳細目錄。
Microsoft 也正在因應這樣的數量規模。在這次發佈中，Microsoft 導入了風險群組，這是一種實驗性的分組方式，會依共通的暴露問題將相關 CVE 歸類在一起，例如哪些系統會處理不受信任的檔案。Microsoft 指出，這些群組並不是用來排序危險程度，因此實際工作順序仍應由漏洞利用狀態和暴露情況來決定。
2. 某些系統剛收到最後一次安全性更新
10 月的更新將是 Windows 11 version 24H2 Home 與 Pro，以及 Windows 10 Enterprise LTSB 2016 的最後一次安全性更新。Windows 11 version 23H2 Enterprise、Education 與 IoT Enterprise 將於 11 月停止更新。執行這些版本的裝置一旦過了終止日期，無論團隊修補速度有多快，都將不再收到修正。請立即找出這些裝置並規劃升級，因為本月的零時差修補程式，可能是它們獲得的最後一道防護。
Splashtop AEM 如何協助判定修補程式的優先順序並進行部署
這次發布涵蓋 1,413 個 CVE，且包含一個已遭利用的零時差漏洞，這讓 IT 團隊有兩項任務：找出其環境中真正重要的項目，並快速部署正確的更新。Splashtop AEM（Autonomous Endpoint Management）可透過集中式控制台同時處理這兩項工作。
找出暴露的裝置：Splashtop AEM 會持續掃描 Windows 和 macOS 端點中的 CVE，包括 CISA 的 Known Exploited Vulnerabilities 目錄中的弱點，並同時提供修補狀態以及硬體與軟體詳細目錄。
優先處理攻擊者正在利用的項目：AI 驅動的 CVE 摘要與風險訊號可協助團隊將 CVE-2026-96951 這類弱點優先於此次發布中的其他項目處理。
更快完成部署與驗證：即時作業系統與第三方應用程式修補、自動化原則、維護時段及更新環可讓團隊先在較小一批裝置上測試 Office 或伺服器更新。接著，團隊便可擴大部署範圍，並追蹤哪些安裝成功、哪些失敗。
強化既有工作流程：Splashtop AEM 可強化 Microsoft Intune，加入即時修補、CVE 可視性與補救功能。使用 RMM 的團隊可利用它補足修補程式可視性與自動化方面的缺口。
運用 Splashtop AEM，搶先因應創紀錄的 Patch Tuesday 更新量
10 月的發佈顯示，修補程式管理多快就會變成一個需要分級處理的問題。在 1,413 個 CVE 加上一個已遭利用的零時差漏洞的情況下，IT 團隊需要找出暴露中的裝置、優先部署最緊急的更新，並確認每個端點都已涵蓋。
立即開始 Splashtop AEM 的免費試用，查看哪些端點存在弱點，優先處理高風險更新，並更快部署修補程式。
