如果您的公司使用 Windows，请在本周安装2026年10月更新，而不要等待通常的周期。2026年10月13日，Microsoft 发布了其历史上规模最大的安全更新，修复了1,400多个漏洞，其中包括一个攻击者已在利用的漏洞（CVE-2026-96951），评分为8.8分（满分10分）。它会让 Windows 把从互联网或电子邮件收到的文件当作员工自己创建的文件对待，因此打开前通常会出现的警告根本不会显示。沙特阿拉伯国家网络安全中心（Saudi CERT）当天发布了严重级别警报，建议更新受影响的产品。解决办法只有一个：安装10月更新，在 Windows 11（24H2、25H2 和 26H2）上为 KB5127648。

本月有什么变化？

Microsoft 在每月第二个星期二发布安全更新，这一天被称为 Patch Tuesday。10月的发布在规模上与众不同：Zero Day Initiative 统计了1,415个新 CVE，这是它见过的第一个四位数的月度总数，也超过了 Microsoft 在2023年全年发布的914个。不同跟踪机构的统计略有差异：Tenable 统计为1,407个，其中69个被评为严重级别。正如 Zero Day Initiative 所解释的，原因在于 AI 工具如今发现漏洞的速度比以前更快，无论是防御方还是攻击方。

数量本身不如那个正在被利用的漏洞重要。其他漏洞需要一段时间才会被人武器化；而这个漏洞在修复发布之前就已在使用中。

对中小企业来说，这个被利用的漏洞有多严重？

当员工下载文件或打开电子邮件附件时，Windows 会给它打上一个名为 Mark of the Web 的标记，表明它来自外部。正是这个标记让 Office 在受保护的视图中打开文件，也让 Windows 在运行下载的程序前发出警告。CVE-2026-96951 能让精心构造的文件丢失这个标记，于是 Windows 把它当作本地文件，打开时没有任何警告。

据 Tenable 称，利用方式依赖社会工程：一封电子邮件或一条消息，诱使员工打开文件。我们市场中的常见场景完全吻合：一份"发票"或"报价单"发到会计手中，会计在没有任何提示阻止的情况下打开了它。Tenable 指出，这是2026年继2月和4月之后第三个在真实环境中被利用的 Windows Shell 漏洞。

美国网络安全和基础设施安全局（CISA）于10月13日将其加入已知被利用漏洞（Known Exploited Vulnerabilities）目录，并要求美国联邦机构在2026年10月16日之前完成修复：只有三天。如此短的期限显示出它受到的重视程度。

哪些机器受影响？各自的更新编号是多少？

根据 Microsoft 安全更新指南中关于该漏洞的条目，所有受支持的 Windows 版本都已提供修复：

  • Windows 11 版本 24H2、25H2 和 26H2：KB5127648。
  • Windows 11 版本 23H2：KB5126653。
  • Windows Server 2025：KB5126646；Windows Server 2022：KB5126655；Windows Server 2019：KB5126651。
  • Windows Server 2016：KB5126868；Windows Server 2012 R2：KB5126836。

没有收到更新推送的机器通常已经超出支持范围。Windows 11 24H2 Pro 电脑已于10月13日结束支持，我们在 Windows 11 24H2 支持结束 一文中做过介绍。如果您仍有 Windows 10 电脑，请参阅 Windows 10 面向企业的支持结束期限。

本周要做的事：五个步骤

  1. 今天就安装更新：依次进入"设置"、Windows Update，然后重启。在机器重启之前，更新并未完成。
  2. 从暴露程度最高的机器开始：会计、采购和客户服务部门，这些电脑每天都会收到外部附件。
  3. 不要忘记服务器：Zero Day Initiative 指出此次发布中有59个可蠕虫传播（wormable）的漏洞，无需登录或用户操作，涉及 DHCP Server 和 Remote Desktop Gateway 等组件。同一次发布还修复了 Outlook、Excel、Exchange、SharePoint 和 SQL Server 中的严重漏洞。
  4. 检查每台机器是否真正安装了更新：不要满足于"更新是自动的"。请您的 IT 负责人提供一份更新尚未完成的机器清单。
  5. 提醒您的员工：一条简短的消息就够了：不要打开您没有预料到的附件，即使没有出现任何警告，也要打电话给发件人确认。

自动更新就够了吗？

很少够。许多公司都有几周没有重启过的电脑、因为某个旧程序曾经出过一次问题而暂停了更新的机器，以及因为"能用"而没人更新的服务器。这就是为什么 Saudi CERT 的警报要求各机构更新受影响的产品，而不仅仅是开启更新。面对一次超过1,400个修复的发布，落后一个月的机器就会成为通往您整个网络的一扇敞开的门。

Origami 的观点

这次发布标志着一个持久的转变：AI 加快了漏洞的发现，因此每月的更新会持续增多，从披露到被利用的时间也会持续缩短。一家"有人想起来才打补丁"的公司将永远落后。更好的做法是制定固定的时间表：严重更新在72小时内完成，其余在两周内完成，并每月出具一份报告，证明每台电脑和服务器都已更新到最新。在 Origami，我们从第一天起就以这种跟进方式为客户构建系统和服务器。如果您希望对公司的电脑或服务器进行检查，请联系我们。

资料来源