В октябрьский Patch Tuesday Microsoft исправила 1411 уязвимостей, 70 из них критические. Прежний рекорд сентября в 966 проблем продержался месяц. В выпуске 677 ошибок повышения привилегий, 317 RCE и 254 утечки данных. Ещё 348 уязвимостей компания закрыла раньше в октябре, в этот счёт они не вошли. Tenable насчитала 1407 CVE и 69 критических, но на статус рекорда это не влияет.
Главный риск несёт CVE-2026-96951 (CVSS 8,8) в Windows Shell. Она позволяет обойти Mark of the Web, то есть система перестаёт считать файл пришедшим из недоверенного источника. Microsoft подтвердила эксплуатацию, CISA внесла уязвимость в каталог KEV. Ещё две публично раскрытые проблемы: CVE-2026-108398 в .NET Framework обходит Windows Defender Application Control, CVE-2026-92707 в MessagePack-CSharp вызывает отказ в обслуживании.
Чтобы не дать атакующим использовать уже известную дыру, обновления лучше раскатывать по степени риска, а не по порядку. В первую очередь стоит закрыть CVE-2026-96951 на рабочих станциях, где открывают файлы из почты и интернета. Затем нужно проверить системы, которые 13 октября потеряли поддержку: Windows 11 24H2 Home и Pro и Windows 10 Enterprise LTSB 2016.