微软本月修复近1100个安全漏洞，Outlook零日漏洞已遭利用

微软今日再次发布四位数补丁，修复Windows及受支持软件中的1093个安全漏洞。其中63个被评为“严重”，可在几乎无需用户配合下控制Windows系统，近一半属于远程代码执行。本月共有535个漏洞可被用于提升权限。微软今年已累计发布超过5100个安全补丁，一年前每月大约只修复100个漏洞。微软将近期大量发现并修复安全缺陷归功于人工智能进步，上个月已推送逾1400项修复。据微软称，目前仅CVE-2026-124194已遭实际利用，这是Outlook中的欺骗漏洞，影响Microsoft 365 Apps for Enterprise及多个Office版本。其他厂商本周也发布了重要更新。苹果周一发布非定期更新，至少修复iOS/iPadOS、macOS、watchOS和visionOS中的9个漏洞，包括可让远程攻击者加入群聊并接收消息的iMessage缺陷，以及可使被拉入群组的人查看加入前已发送消息的另一处缺陷。SANS研究所讲师Lee Neely指出，苹果还将修复向后移植到iOS 18，应尽快升级到27.2.1，为无法运行当前系统的旧设备设定升级时间，不要假定更新会自动完成。谷歌本周发布Chrome 157.0.8103.50，修复9个安全漏洞，包括Chrome今年第六个零日漏洞CVE-2026-125350，基于Chromium的浏览器如Edge也已同步修复。该版本紧随11月3日修复213个漏洞的更新。Mozilla今日发布的Firefox 160修复近100个CVE，约一半为高危。Adobe今日为多款产品修复至少110个漏洞，近一半被评为高危，并称没有证据表明这些漏洞已遭实际利用。Ivanti产品管理副总裁Chris Goettl表示，大型企业安全团队面对微软近期补丁数量和严重程度容易感到压力，但今年各厂商约95000个已分配CVE的漏洞中，迄今只有217个被列入CISA维护的已知被利用漏洞（KEV）清单。他指出，今年已遭利用的漏洞中约四成位于操作系统、终端软件、浏览器和服务器平台，持续打补丁可以较快补上；其余则需同时做暴露面管理，尤其是占44%、位于边缘设备和IT管理或远程访问工具、面向互联网且握有特权访问的系统。能迅速识别这些资产、确认暴露并对已确认利用采取行动的团队，可聚焦攻击者正在使用的那一小部分漏洞，其余仍按常规节奏处理。若近期尚未备份重要数据，应在应用系统更新前先备份。