Microsoft retter rekordmange sårbarheder i oktober

Microsofts Patch Tuesday for oktober 2026 sætter ny rekord med sikkerhedsopdateringer til 1.411 sårbarheder. Blandt fejlene er tre nuldagssårbarheder, hvoraf én allerede er blevet aktivt udnyttet i angreb. Samtidig introducerer Microsoft en ny model for risikovurdering, der skal hjælpe organisationer med at prioritere blandt det voksende antal sikkerhedsrettelser.

Det skriver Bleeping Computer.

Rekordmåned for Microsofts sikkerhedsopdateringer

Oktober 2026 bliver den mest omfattende Patch Tuesday til dato. Microsoft har offentliggjort rettelser til 1.411 sårbarheder fordelt på en lang række produkter og komponenter.

De største kategorier omfatter:

• 677 sårbarheder til privilegieeskalering
• 317 sårbarheder til fjernudførelse af kode (RCE)
• 254 informationslæksårbarheder
• 73 denial-of-service-sårbarheder
• 40 sikkerhedsomgåelser
• 28 spoofing-sårbarheder

Af de rettede fejl vurderes 70 som kritiske. Heraf er 57 relateret til fjernudførelse af kode, mens 11 kan føre til privilegieeskalering.

Tallet dækker alene de sårbarheder, som Microsoft offentliggjorde i forbindelse med Patch Tuesday. Flere hundrede yderligere fejl er allerede blevet rettet tidligere på måneden i blandt andet Azure-tjenester, Exchange Server og Microsoft Dataverse.

Microsoft peger på, at den markante stigning blandt andet skyldes øget anvendelse af kunstig intelligens til identifikation af sikkerhedsfejl i egne produkter.

Aktivt udnyttet nuldagssårbarhed i Windows Shell

Den mest alvorlige af månedens nuldagssårbarheder er EUVD-2026-100274 / CVE-2026-96951, der påvirker Windows Shell. CVSS-scoren er 8,8. En EPSS-score er ikke tilgængelig endnu. 

Sårbarheden gør det muligt at omgå Mark of the Web, som anvendes til at markere filer hentet fra internettet og aktivere ekstra sikkerhedskontroller. Ifølge Microsoft skyldes problemet utilstrækkelig håndtering af særlige kommandoelementer, hvilket kan føre til omgåelse af sikkerhedsfunktioner via netværket.

Microsoft bekræfter, at sårbarheden er blevet udnyttet aktivt, men har ikke offentliggjort oplysninger om angrebene eller de aktører, der står bag.

To offentligt kendte nuldagssårbarheder

Derudover adresserer oktoberopdateringerne to offentligt kendte nuldagssårbarheder.

Den ene, EUVD-2026-99069 / CVE-2026-108398, findes i .NET Framework og gør det muligt for en autentificeret bruger at omgå Windows Defender Application Control (WDAC). En angriber kan placere en særligt udformet .NET-assembly på et system og få den indlæst i en beskyttet proces uden brugerinteraktion.

Sårbarheden blev opdaget af sikkerhedsforsker James Forshaw fra Google Project Zero.

Den anden, CVE-2026-92707, påvirker MessagePack-CSharp og kan bruges til denial-of-service-angreb gennem ukontrolleret hukommelsesallokering via netværket.

Flere Windows-versioner når enden af vejen

Samtidig markerer oktoberopdateringerne afslutningen på understøttelsen af flere Windows-versioner.

Windows 11 version 24H2 Home og Pro modtager deres sidste sikkerhedsopdatering med oktoberudgivelsen. Det samme gælder Windows 10 Enterprise LTSB 2016.

Microsoft har desuden varslet, at Windows 11 23H2 Enterprise, Education og IoT Enterprise mister sikkerhedsunderstøttelsen i november 2026.

Ny model skal gøre patchprioritering lettere

Mængden af sårbarheder har fået Microsoft til at introducere et nyt eksperimentelt koncept kaldet "risk cohorts".

I stedet for alene at fokusere på individuelle CVE-numre grupperes sårbarheder efter teknologiske områder og potentiel risiko. Formålet er at give organisationer et bedre overblik over, hvor de største eksponeringsflader befinder sig.

Blandt de største grupper i oktober findes:

• 136 sårbarheder i filsystemer, lagring og backupfunktioner i Windows
• 135 sårbarheder relateret til Office-dokumenter og mailklienter
• 131 sårbarheder inden for grafik, medier og indholdsbehandling
• 109 sårbarheder i Windows' kernekomponenter og privilegiegrænser
• 103 sårbarheder knyttet til installation, deployment og opdateringstjenester

Microsoft understreger dog, at kohorterne ikke i sig selv angiver de farligste sårbarheder. Risikoen afhænger fortsat af faktorer som aktiv udnyttelse, eksponeringsgrad og den konkrete anvendelse af de berørte systemer.

Den nye metode skal derfor ses som et supplement til virksomhedens eksisterende prioriteringsanbefalinger, ikke som en erstatning, fremgår det.