Patch Tuesday octombrie 2026: o CVE exploatată din 1.417
Microsoft a publicat pe 13 octombrie 2026 actualizările de securitate din octombrie. În datele MSRC am numărat 1.417 CVE-uri publicate în acea zi. Presa raportează între 1.407 și 1.417, în funcție de ce include, și vorbește despre o lună record. Una singură are exploatare confirmată: CVE-2026-96951, un bypass Mark of the Web în Windows Shell, adăugat de CISA în KEV în aceeași zi.
La un asemenea volum, scorul CVSS singur nu mai stabilește ordinea de lucru. Mai jos separăm ce este exploatat, ce era deja public, ce este critic și expus în rețea și ce sisteme ies din suport luna aceasta. Așa obții o ordine de patch-uire pe care o poți justifica.
CVE-2026-96951: singura exploatată
Microsoft clasifică CVE-2026-96951 ca Important, cu CVSS 8,8, și o marchează „Exploitation Detected”. Este o injectare de comenzi în Windows Shell care permite ocolirea protecției Mark of the Web (MOTW), adică a avertismentelor și restricțiilor aplicate fișierelor descărcate din Internet. Atacatorul nu poate forța victima: trebuie să o convingă să deschidă un fișier primit pe e-mail sau prin mesagerie ori să acceseze un link.
În datele Microsoft apar ca afectate Windows 10 1607, 1809, 21H2 și 22H2, Windows 11 23H2, 24H2, 25H2, 26H1 și 26H2 și Windows Server 2012 R2, 2016, 2019, 2022 și 2025. Apare și Outlook.com, corectat de Microsoft în cloud. CISA a adăugat CVE-2026-96951 în KEV pe 13 octombrie, cu termen 16 octombrie pentru agențiile federale americane. Microsoft nu a spus cine a exploatat vulnerabilitatea și în ce campanii.
KB-urile de verificat
Pentru CVE-2026-96951, datele MSRC indică următoarele actualizări cumulative:
- ▸Windows 11 24H2, 25H2 și 26H2: KB5127648. Windows 11 26H1: KB5127646. Windows 11 23H2: KB5126653;
- ▸Windows 10 21H2 și 22H2: KB5126657 (pentru 22H2, prin programul Extended Security Updates);
- ▸Windows Server 2025: KB5126646. Server 2022: KB5126655. Server 2019 și Windows 10 1809: KB5126651;
- ▸Windows Server 2016 și Windows 10 1607: KB5126868. Windows Server 2012 R2: KB5126836.
Ce era public sau are exploatare probabilă
Două vulnerabilități erau publice înainte de patch, fără exploatare cunoscută. Prima este CVE-2026-108398 în .NET Framework (CVSS 8,8): un atacator deja autentificat poate ocoli Windows Defender Application Control încărcând un assembly într-un proces protejat. A doua este CVE-2026-92707 în MessagePack-CSharp, un denial of service cu CVSS 5,3. Prima contează acolo unde App Control este o barieră de bază, de exemplu pe stațiile de administrare sau pe serverele cu liste de aplicații permise.
La Exchange Server, Microsoft marchează două CVE-uri cu „Exploitation More Likely”: CVE-2026-70279, un spoofing cu CVSS 9,3, și CVE-2026-70571, o execuție de cod clasificată Critical, cu CVSS 8,1. Exchange mai are o escaladare de privilegii cu CVSS 8,8 (CVE-2026-77910). Tot cu „More Likely” este marcată CVE-2026-70229, o execuție de cod în Active Directory Domain Services, clasificată Critical.
Scoruri de 9,8 cu exploatare „puțin probabilă”
Mai multe servicii de rețea au CVE-uri cu CVSS 9,8:
- ▸Windows DHCP Server: zece vulnerabilități de execuție de cod, dintre care două la 9,8 (CVE-2026-96934 și CVE-2026-96320);
- ▸Windows DNS: CVE-2026-83869 și CVE-2026-96113;
- ▸Microsoft QUIC (CVE-2026-105016), OpenSSH for Windows (CVE-2026-97816), Network Policy Server (CVE-2026-100222) și RPC Runtime (CVE-2026-83910).
Outlook și ordinea de patch-uire
Microsoft le evaluează pe toate cele de mai sus cu „Exploitation Less Likely”. Outlook are nouă vulnerabilități de execuție de cod. Pentru cel puțin două dintre ele, CVE-2026-70291 și CVE-2026-88156 (Critical, CVSS 9,8), Microsoft confirmă că panoul de previzualizare este un vector de atac, deci este suficient ca mesajul să fie afișat.
O ordine rezonabilă: întâi ce este exploatat sau era public, apoi serviciile critice expuse (DHCP, DNS, NPS, Exchange, controlerele de domeniu și Outlook pe stațiile utilizatorilor), apoi restul.
Ce iese din suport luna aceasta
Potrivit paginilor Microsoft despre ciclul de viață, Windows 11 24H2 în edițiile Home și Pro a ajuns la sfârșitul suportului pe 13 octombrie (ora Pacificului). Tot atunci s-a încheiat al treilea an de Extended Security Updates pentru Windows Server 2012 R2, iar Microsoft nu listează un al patrulea an. Pentru aceste sisteme, actualizarea din octombrie este ultima. Orice laptop pe 24H2 Pro sau server 2012 R2 rămas în producție va acumula de acum CVE-uri fără patch.
Ce faci azi
- ▸Instalează actualizarea cumulativă din octombrie cu prioritate pe stațiile utilizatorilor, pentru CVE-2026-96951, și păstrează active MOTW și filtrarea atașamentelor.
- ▸În primul val de servere, include Exchange Server, controlerele de domeniu și serverele DHCP, DNS și NPS.
- ▸Tratează vulnerabilitățile Outlook exploatabile prin panoul de previzualizare ca prioritare pentru utilizatorii care primesc e-mail din exterior.
- ▸Identifică sistemele pe Windows 11 24H2 Home/Pro și pe Windows Server 2012 R2 și planifică migrarea. Documentează excepțiile, cu termen.
- ▸Nu deduce prioritatea doar din CVSS. Separă vulnerabilitățile exploatate (KEV), cele publice, cele „More Likely” și restul.
Închide luna cu dovezi
Pentru fiecare grup de sisteme, păstrează lista CVE-urilor relevante, KB-ul instalat, buildul verificat după repornire, data și excepțiile aprobate. La 1.417 CVE-uri, un raport care arată că știai ce era exploatat și ce ai patch-uit primul e mai util decât un procent general de conformitate.
Leagă fiecare CVE de sistem și dovadă
Awarely Monitor aduce context CVE, statut KEV și produse urmărite în fluxul de remediere. Instalarea și verificarea patch-urilor rămân în instrumentele de administrare.