Publicat pe 14 octombrie 2026 · Echipa mitza.es
Microsoft și-a publicat buletinul lunar de securitate pe 13 octombrie 2026 și și-a doborât din nou propriul record, de această dată la mare distanță: peste 1.400 de vulnerabilități corectate într-o singură lună. Cel mai mare buletin de până acum era cel din septembrie, cu 966 de defecte, iar potrivit Security Affairs este prima dată când Microsoft depășește o mie într-o singură lună. Printre atâtea patch-uri, există unul care este deja folosit împotriva sistemelor reale.
Câte vulnerabilități sunt, de fapt
Depinde cine numără. BleepingComputer estimează buletinul la 1.411 defecte, fără a include alte 348 corectate la începutul lunii. SecurityWeek preia cifra Microsoft, 1.413 CVE-uri, dintre care 1.102 afectează Windows, 134 Office, 61 instrumentele de dezvoltare și 36 SharePoint Server. Iar Security Affairs, citând Zero Day Initiative, vorbește despre 1.415. Fiecare publicație numără ușor diferit, dar nicio diferență nu schimbă concluzia: este un volum fără precedent. SecurityWeek calculează că această singură lună depășește totalul întregului an 2025 și duce cumulul din 2026 peste 4.000.
Dintre toate acestea, 70 sunt clasificate drept critice conform BleepingComputer (57 de execuție de cod la distanță, 11 de escaladare a privilegiilor și 2 de falsificare), deși alte publicații numără până la 80. După tip, predomină cele de escaladare a privilegiilor (aproximativ 677) și cele de execuție de cod la distanță (aproximativ 317).
Zero-day-ul activ: o scurtătură pentru a ocoli Mark of the Web
Este vorba despre CVE-2026-96951, o eludare a funcțiilor de securitate în Windows Shell, cu scor CVSS de 8,8, pe care Microsoft o confirmă ca exploatată. Permite ocolirea Mark of the Web, marcajul pe care Windows îl adaugă fișierelor descărcate de pe Internet sau primite prin e-mail pentru ca acestea să avertizeze înainte de a fi executate. Cu acest defect, un fișier manipulat poate fi deschis fără aceste avertismente.
Pentru a-l exploata, utilizatorul trebuie convins să deschidă fișierul, de exemplu trimițându-i-l prin e-mail sau prin mesagerie. Microsoft nu a explicat cum este exploatat; SecurityWeek menționează că a fost raportat de Fujitsu, Anthropic și un cercetător independent. CISA l-a inclus în catalogul său de vulnerabilități exploatate și a dat agențiilor federale din SUA termen până pe 16 octombrie să îl corecteze. Este genul de defect care se potrivește cu frauda prin e-mail: un PDF sau o arhivă care înainte ar fi declanșat un avertisment din partea Windows și acum nu o mai face.
Încă două zero-day-uri și defecte de urmărit
Pe lângă cel exploatat, Microsoft consideră zero-day-uri alte două defecte divulgate public înainte de patch, fără exploatare confirmată:
- CVE-2026-108398: eludare a securității în .NET Framework care permite ocolirea Windows Defender Application Control (WDAC), sistemul care decide ce aplicații pot rula. Conform BleepingComputer, a fost descoperit de James Forshaw, de la Google Project Zero, iar Microsoft consideră improbabilă exploatarea lui.
- CVE-2026-92707: refuz de serviciu în MessagePack-CSharp, o componentă folosită de Visual Studio și .NET. Are o gravitate moderată.
Dintre celelalte, listele BleepingComputer și Security Affairs evidențiază o execuție de cod la distanță critică în Active Directory Domain Services (CVE-2026-70229), o escaladare a privilegiilor fără autentificare în SharePoint Server (CVE-2026-102866, CVSS 8,1), o execuție la distanță în SQL Server (CVE-2026-65674, CVSS 8,8) și 59 de defecte potențial „wormable”, adică capabile să se propage singure, în servicii de rețea precum DHCP, Remote Desktop Gateway și DNS. Dacă nu administrezi servere proprii, majoritatea nu te afectează direct; dacă ai, acestea sunt cele pe care trebuie să le programezi primele.
De ce sunt atât de multe patch-uri deodată
BleepingComputer și SecurityWeek atribuie o bună parte din record utilizării inteligenței artificiale pentru descoperirea vulnerabilităților, deși niciuna dintre cele două surse nu oferă o defalcare care să o demonstreze. Microsoft a introdus, de asemenea, 15 „cohorte de risc” pentru a ajuta la prioritizarea instalării, dar precizează că aceste grupuri nu indică ce defecte sunt cele mai periculoase. Pentru un IMM consecința practică este clară: cu acest volum lunar, verificarea manuală a ceea ce s-a instalat și a ceea ce nu s-a instalat nu mai este realistă.
Același buletin pune capăt suportului pentru Windows 11 24H2
Actualizarea din octombrie este și ultima pentru Windows 11 24H2 Home și Pro și pentru Windows 10 Enterprise LTSB 2016, potrivit BleepingComputer. Windows 11 23H2 Enterprise, Education și IoT Enterprise vor înceta să primească actualizări de securitate în noiembrie 2026. Am explicat deja cui i se aplică și ce e de făcut în articolul nostru despre sfârșitul suportului pentru Windows 11 24H2 și Office 2021; iar dacă mai ai echipamente cu Windows 10, consultă și ce opțiuni ai cu actualizările ESU.
Ce poți face în afacerea ta săptămâna aceasta
- Instalează actualizările cumulative din octombrie pe toate echipamentele, începând cu cele de administrație și facturare, care sunt cele care deschid cele mai multe fișiere externe.
- Fii circumspect cu fișierele neașteptate chiar dacă Windows nu afișează niciun avertisment: cu acest defect, absența avertismentului nu mai este un semn că fișierul este sigur.
- Dacă folosești servere Windows (DNS, DHCP, Remote Desktop, Active Directory) sau SharePoint și SQL Server local, programează-le o fereastră de mentenanță chiar în această săptămână.
- Verifică versiunea de Windows 11 de pe fiecare echipament: cele care rămân pe 24H2 Home sau Pro nu mai primesc patch-uri de securitate.
Dacă nu ai pe cineva care să țină acest lucru la zi, serviciul nostru de mentenanță IT include verificarea actualizărilor, la distanță și cu suport la fața locului în Madrid și împrejurimi; dacă afacerea ta este în Valdemoro, ai detaliile în mentenanță IT în Valdemoro. Pentru un diagnostic mai complet al expunerii tale, poți solicita un audit personalizat.