微軟十月修補日一次補逾 1,400 個漏洞：數量破紀錄，真正已遭利用的只有 1 個

微軟 10 月 13 日的修補日創下單月新高，各家統計介於 1,407 至 1,417 個漏洞之間；其中僅 Windows Shell 的 CVE-2026-96951 已確認遭利用，另有 59 個被列為可蠕蟲式傳播。

微軟在 10 月 13 日釋出的十月修補日更新，寫下了一項不太光彩的紀錄：單月修補的漏洞數量首次突破四位數。不同統計單位的數字略有出入，從 1,407 到 1,417 個不等，零日倡議組織（ZDI）統計為 1,415 個。無論採用哪一種算法，這個月的修補量都超過微軟過去任何一整年的總和，先前的年度紀錄是 2020 年的 1,261 個。

數字為什麼兜不攏

各家統計的落差，來自計算範圍的不同。舉例來說，BleepingComputer 的 1,411 個排除了微軟在 10 月稍早針對 Azure 服務與 Exchange Server 等產品先行修補的 348 個漏洞；微軟自己的公告標題寫的是 1,413 個，表格合計卻是 1,414 個。對管理員來說，糾結最後兩位數沒有意義，真正重要的是優先順序。

從組成來看，Windows 相關漏洞占了 1,102 個，Office 有 134 個，開發工具 61 個，SharePoint Server 36 個。被列為重大等級的約 70 至 75 個；依類型區分，權限提升類最多，達 677 個，遠端執行程式碼類則有 317 個。

只有 1 個已遭利用，2 個已公開

在超過 1,400 個漏洞裡，真正需要立刻處理的其實很少。微軟標示為已遭利用的只有 1 個：Windows Shell 的 CVE-2026-96951，屬於安全功能繞過漏洞，攻擊者可以藉此規避「來自網路的標記」（Mark of the Web）保護，讓使用者下載的檔案不再跳出警告。使用者仍須實際開啟檔案才會中招，但美國 CISA 已將它列入已知遭利用漏洞清單。

另外 2 個在修補前就已公開：.NET Framework 的 CVE-2026-108398，會繞過 Windows Defender 應用程式控制，CVSS 評分 8.8；以及 MessagePack-CSharp 的 CVE-2026-92707，屬於阻斷服務漏洞。兩者目前皆未被標示為已遭利用。

59 個可蠕蟲式傳播，微軟試行分組 triage

零日倡議組織另指出，這批漏洞中有 59 個屬於「可蠕蟲式傳播」，也就是不需身分驗證、不需使用者互動就能擴散，分布在 DHCP 伺服器、網路原則伺服器、Windows 錯誤回報與遠端桌面閘道等元件。這類漏洞是修補順序上僅次於已遭利用漏洞的第二優先。

面對破紀錄的數量，微軟這次也試行了「風險群組」（risk cohorts）分組，希望幫助管理團隊分批處理，而不是對著上千筆清單無從下手。同一批更新裡，Adobe 也修補了 174 個漏洞，其中 3 個重大漏洞的 CVSS 評分達到滿分 10 分。

為什麼數量突然暴增

零日倡議組織的 Dustin Childs 指出，AI 正在同時加速攻防兩端找漏洞的速度：研究人員用 AI 更快發現問題，攻擊者也能更快把漏洞細節轉換成可用的攻擊程式。9 月的修補量將近 1,000 個就已是當時新高，10 月又直接翻過 1,400 個大關。對企業來說，這意味著修補流程本身必須升級：先補已遭利用與可蠕蟲式傳播的漏洞，再依風險群組分批處理，全部補完已不再是現實的目標。

資料來源

• Zero Day Initiative：十月修補日統計（經 SecurityAffairs 報導）
• BleepingComputer：十月修補日統計（經 WebProNews 整理）
• Microsoft：2026 年 10 月安全性更新公告