微软十月补丁日唯一的在野零日是 Shell MOTW 绕过 优先级清单

周二早上打开 MSRC 的十月发布说明，第一眼是总数：1453 条微软 CVE。我第一反应是页面是不是把非微软的也算进去了，往下翻才确认这个数就是本月微软自己修复的总量，另外还重新发布了 353 条非微软的 CVE（主要是 Chrome）。这个量已经没法逐条看，只能按"被利用的、已公开的、暴露在网上的"来排优先级，这篇就把我的排法写下来。



全月唯一确认在野利用的是 CVE-2026-96951，Windows Shell 的安全功能绕过。它本质是命令注入（CWE-77），绕的是 Mark of the Web，也就是 Windows 给从互联网下载的文件打的来源标记。MOTW 一旦被绕过，Office 受保护的视图、SmartScreen 警告、Defender 的沙箱提示统统不会触发，钓鱼附件打开时和本地文件没有区别。评分 CVSS 8.8、Important，需要用户交互——这也是它没被评成 Critical 的原因。但 CISA 已经在 10 月 13 日把它加进 KEV 目录，美国联邦机构的修复截止是 10 月 16 日，还要求做取证排查。MSRC 标注 Exploitation Detected，临时向量里 E:F 说明功能性利用代码已存在。别被 Important 这个标签骗了，这个月最先打的就该是它。

第二条要盯的是 CVE-2026-108398，.NET Framework 的 WDAC 绕过。攻击路径是本地的：攻击者得先有立足点，放置一个特制的 .NET 程序集并注册给受保护进程加载，绕过 Windows Defender 应用控制。已公开细节、未被利用。如果你的环境把应用白名单当作核心防线，这条要往前提；纯办公网影响有限。

第三条是 MessagePack-CSharp 的拒绝服务（CVE-2026-92707），随 .NET 和 Visual Studio 分发，同样已公开未利用。剩下两条我建议单独立项的：CVE-2026-70229 是 AD DS 的远程代码执行，8.1 分、Critical、利用可能性较高，虽然没进 KEV，但域控是 tier-0 资产，我认为按三天内处理排，不必等 CISA 发话；CVE-2026-96222 和 CVE-2026-108131 是 AD FS 的两条身份仿冒，拿 AD FS 当单点登录网关的单位尽快更新。

一个要如实说的口径问题：总数字各家不一样。MSRC 官方页面写 1453 条，HCL BigFix 的分析写 1408 条（并注明行业追踪在 1407 到 1422 之间浮动），Awarely 数出来 1417，indusface 标题写 1414。这属于统计口径差异（是否含重新发布条目、按发布日还是按编号计），我不做合并，以 MSRC 页面为准。同理，"55 个可蠕虫化 RCE"这类汇总我也没在官方文本里找到原始出处，引用时都注明了来源。

落到操作上，我的顺序是：所有受支持的 Windows 客户端和服务器先打 10 月累计更新（包括走 ESU 的 Windows Server 2012 R2 和 Windows 10 22H2），这一步覆盖 96951；然后是 .NET Framework 3.5 到 4.8.1 的累计更新和 Visual Studio 2022/2026 的安全更新；接着按资产重要性排 Exchange、SharePoint、Hyper-V、AD FS。KB 号我核对过一份：Windows 11 24H2/25H2/26H2 是 KB5127648，26H1 是 KB5126751 之外的 KB5127646，23H2 是 KB5126653，Windows 10 21H2/22H2 是 KB5126657，Server 2025/2022/2019 分别是 KB5126646、KB5126655、KB5126651。装完别信部署报告，直接在几台代表机器上查已安装更新确认。

还有一句要紧的：96951 需要"修复后在野执行记录"，补丁装完不等于风险清零。对已确认被利用的洞，KEV 要求的三天取证排查（找 MOTW 缺失的可疑执行）应该照做，翻一下终端上 10 月以来打开过的可疑附件执行记录，比单纯等下个补丁日有用。

来源如下，CVE 状态与评分以 MSRC 与 CISA KEV 为准，各媒体口径分歧已在正文注明：

1. MSRC October 2026 Security Updates（官方发布说明）
   https://msrc.microsoft.com/update-guide/releaseNote/2026-Oct
2. CISA Known Exploited Vulnerabilities Catalog（CVE-2026-96951 于 2026-10-13 加入）
   https://www.cisa.gov/known-exploited-vulnerabilities-catalog
3. HCL BigFix：October 2026 Patch Tuesday 分析（2026-10）
   https://www.hcl-software.com/blog/bigfix/october-2026-patch-tuesday-microsofts-record-1413-cve-release-ships-an-actively-exploited-windows-shell-zero-day-and-two-publicly-disclosed-net-flaws
4. PenTestIT：Microsoft Patch Tuesday October 2026 Exploitability and Patching Priority
   https://pentestit.com/microsoft-patch-tuesday-october-2026-exploitability-and-patching-priority
5. Awarely Monitor：October 2026 Patch Tuesday（含 KB 清单）
   https://monitor.awarely.ro/blog/microsoft-patch-tuesday-octombrie-2026-cve-2026-96951
6. CiberSafety：Microsoft security bulletin October（AD FS 两条 CVE 归类）
   https://cibersafety.com/en/Microsoft-security-bulletin-October

**HKTULU**
2026-10-26