Microsoft utbedrer rekordmange sårbarheter i oktoberoppdatering

black and silver padlock in grayscale photography — Vanna Phon / Unsplash

Microsoft har utgitt sikkerhetsoppdateringer for oktober 2026 som utbedrer totalt 1 411 sårbarheter, noe som er det høyeste antallet noensinne. Oppdateringene inkluderer løsninger for tre nulldagssårbarheter, hvorav én allerede har blitt utnyttet i faktiske angrep og to har blitt offentliggjort.

Blant de utbedrede feilene er 70 sårbarheter klassifisert som kritiske. Av disse er 57 knyttet til fjernkjøring av kode, 11 til eskalering av privilegier og to til spoofing. Totalt sett er eskalering av privilegier den vanligste kategorien med omtrent 677 tilfeller, etterfulgt av fjernkjøring av kode med 317, offentliggjøring av informasjon med 254, tjenestenekt med 73, omgåelse av sikkerhetsfunksjoner med 40 og spoofing med 28. I tillegg har Microsoft tidligere i samme måned utbedret 348 andre sårbarheter som berører tjenester som Azure App Service, Azure Event Grid, Azure SRE Agent, Microsoft Dataverse og Microsoft Exchange Server.

Den utnyttede nulldagssårbarheten, CVE-2026-96951, er en feil ved omgåelse av sikkerhetsfunksjoner i Windows Shell. Denne oppstår på grunn av feilaktig håndtering av spesielle elementer i kommandoer, noe som gjør det mulig for uautoriserte angripere å omgå sikkerhetsmekanismen Mark of the Web over nettverk. Microsoft har ikke opplyst om hvem som rapporterte feilen eller detaljer om hvordan den ble utnyttet.

To andre nulldagssårbarheter ble offentliggjort. CVE-2026-108398 er en sårbarhet i .NET Framework oppdaget av Google Project Zero, som tillater autentiserte angripere å kjøre kode i en beskyttet prosess ved å omgå Windows Defender Application Control. CVE-2026-92707 er en tjenektnesårbarhet i MessagePack-CSharp som skyldes mangelfull kontroll av sammenhengende minneallokering, noe som kan føre til at tjenester stanser via nettverk.

Sikkerhetsoppdateringene markerer slutten på støtten for Windows 11 24H2 Home og Pro, samt Windows 10 Enterprise LTSB 2016, per 13. oktober 2026. Windows 11 23H2 Enterprise, Education og IoT Enterprise vil slutte å motta sikkerhetsoppdateringer fra november 2026.

Microsoft tester nå en metode kalt risikogrupper for å hjelpe organisasjoner med prioritering. I denne omgangen er sårbarhetene delt inn i 15 grupper, inkludert 136 for lagring og sikkerhetskopiering i Windows, 135 for Office-dokumenter og e-postklienter, 131 for grafikk og mediebehandling i Windows, 109 for privilegiegrenser i Windows-kjerne og kernel, samt 103 for installasjon og oppdatering av Windows. Microsoft presiserer at denne grupperingen er eksperimentell og ikke indikerer hvilke sårbarheter som er farligst, da risikoen avhenger av utnyttelsesstatus, alvorlighetsgrad og brukermønster.