每天 8 点5 分钟看懂微软技术圈。今天是 2026 年 10 月 14 日星期三。今日速览十月补丁星期二把纪录又抬高了一截一家安全媒体数出 1411 个漏洞其中 3 个是零日Windows Shell 那个已经被人用在实际攻击里。.NET 11 走到第二个候选版带上了可以进生产的 go-live 授权正式版排在 11 月的 .NET Conf。一批老接口与旧设置进入收尾M365 的 Targeted Release 明年 1 月退役Exchange Web Services 与 SharePoint 的预认证 URL 都定在 2027 年 4 月关门。微软给 Copilot 的遥测加了两组开关活动可以归到具体账号也可以在不开提示词与回复的前提下单独打开身份采集。一、十月补丁创纪录1411 个漏洞、3 个零日10 月 13 日微软发出十月 Patch Tuesday。按 BleepingComputer 的统计这一批修了 1411 个漏洞是它记录里的最大一次发布其中 70 个被评为严重57 个属于远程代码执行。数字各家略有出入Tenable 数到 1407 个69 严重、1337 重要、1 低Action1 报 1409 个而微软自己在风险分组简报里覆盖的是 1118 个。差异主要来自计数口径例如是否把随 Azure Linux 一同发布的第三方组件、以及本月早些时候单独修掉的那部分算进来。三个零日里一个已经在被利用。CVE-2026-96951 出在 Windows Shell属于绕过安全特性的命令注入攻击者不必认证、通过网络就能绕开网络标记Mark of the Web。这层标记正是 SmartScreen 提示与 Office 受保护视图的触发条件绕开它下载来的恶意文件就少掉一次拦截。该漏洞 CVSS 8.8微软没有说明是谁在利用名字已在 10 月 13 日被 CISA 收进已知被利用漏洞目录。这也是今年第三个被在野利用的 Windows Shell 漏洞前两个分别在 2 月与 4 月修掉。另外两个零日是公开披露之后才补的。CVE-2026-108398 出在 .NET Framework属于不受信任的搜索路径问题本地的已认证攻击者可以放一个构造好的 .NET 程序集并让受保护进程加载从而绕过 Windows Defender 应用程序控制WDAC、在受保护进程里执行代码且不需要用户交互发现者是 Google Project Zero 的 James Forshaw。CVE-2026-92707 出在 MessagePack-CSharp属于内存分配不受控引起的远程拒绝服务这条单靠装 Windows 更新修不掉打包了这个库的应用要各自升级依赖。要给上千条漏洞排优先级微软这次换了个办法。逐条读过一遍并不现实于是它在简报里把它们分进 15 个风险分组分组的依据是要回答的环境问题相同而不是同一个根因或同一个分数。体量最大的几组依次是Windows 文件系统与存储备份 136 条、Office 文档与邮件客户端 135 条、Windows 图形媒体与内容处理 131 条、Windows 核心与内核权限边界 109 条、Windows 安装部署与更新服务 103 条其后是 DNS 与网络地址设施 76 条、设备外设与打印 76 条、远程访问与 RDP 65 条、身份凭据与加密 61 条、目录与联合身份及证书设施 24 条。意思很直白比起照着清单打勾先问一句我们哪里把 RDP 暴露在外面更省事。几条被标为更可能被利用的可以排在前头。目录服务侧有 Windows AD DS 的远程代码执行 CVE-2026-702298.1严重以及两条 AD FS 的伪造漏洞 CVE-2026-96222 与 CVE-2026-108131Exchange 这边有一条伪造 CVE-2026-702799.3与一条远程代码执行 CVE-2026-705718.1严重。按受影响组件数排Excel 以 69 条居首之后是 DNS 服务器 52 条、Windows 内核 46 条、Windows Installer 38 条、Win32 内核子系统 36 条与 SharePoint 34 条。同一天还有一条生命周期消息。Windows 11 24H2 的家庭版与专业版、以及 Windows 10 企业版 LTSB 2016都在 10 月 13 日走到更新终点这一批是它们能收到的最后一次月度安全更新。留在 24H2 上的机器要尽快切到 25H2 或 26H2企业版与教育版的 24H2 则还有一年。二、.NET 11 走到第二个候选版10 月 13 日.NET 团队放出 .NET 11 Release Candidate 2。这个版本带 go-live 授权意味着可以直接在生产环境里用起来官方口径里它是第二个候选版也是距离正式发布只差一个月的收尾版本。正式版排在 11 月的 .NET Conf。配套的开发环境是 Visual Studio 2026 Insiders以及装了 C# Dev Kit 的 Visual Studio Code。这一版的改动铺得很散。类库侧加入了增量读取 CBOR、实验性的复合 ML-KEM 与 HPKE 接口、按特性参数格式化 DataAnnotations 消息以及配置初始 HTTP/2 并发数。运行时的一条改动是在 iOS 与 tvOS 上默认关闭文件锁。SDK 支持在文件级指令里写带引号的值也可以把 MSBuild 属性放进启动配置的参数里MSBuild 在项目求值时的通配符匹配变快NuGet 可以从命令行设置包的最短发布时长给供应链留一道缓冲。F# 拿到了运行时异步、计算表达式里的 reraise、部分 API 要求具名参数、FSharp.Core 集合分配下降、并发异步有界顺带把裁剪与 Native AOT 又推进了一格。离用户更近的两处是 MAUI 与 Windows Forms。MAUI 支持用 C# 直接写界面可以读取 Apple Icon Composer 的素材还能在 Apple 平台上试用为 Shell 处理器写 XAML 并配合热重载。Windows Forms 这一版补齐了视觉样式与系统视觉、辅助功能设置的联动支持延迟显示窗体、在批量更新时挂起绘制与布局新加了 KioskModeManager 组件并为设计器配上引导型分析器。ASP.NET Core 这边则把 QuickGrid 的虚拟化 API 从实验状态转正。放在时间线上看这一步是把前几个月的铺垫收口。官方把 .NET 11 定位成一次小版本主打许多小改进与常规的性能提升而不点语言版本升级。本月上旬公布预发布的 C# Dev Kit 11.0版本号也正是对齐到 .NET 11按现在的节奏剩下的就是把 RC2 跑一遍兼容性等 11 月的正式发布。三、Copilot 的模型货架与遥测开关同时更新10 月 13 日GitHub 把 Google 的 Gemini 4 Argon 放进 Copilot 的模型选择器。官方称这是Google 最新的前沿模型面向复杂编码、智能体与推理任务已正式可用、不再是预览。可选入口覆盖 VS Code、Visual Studio、Copilot CLI、Coding Agent、Copilot 应用、JetBrains IDE、Xcode 与 Eclipse。名单只到 Pro、Max、Business 与 Enterprise 四档而且是分批放开暂时看不到属正常。这次换模型收费方式跟着变了。GitHub 说明 Argon 不占用常规的高级请求额度而是按厂商列表价走用量计费单价由 Google 定。管理员一侧的默认逻辑是只要没有关掉全局默认、也没有单独停用这一款新模型会自动开启想先用政策挡一挡的得去 Copilot 设置的模型政策里处理。对把智能体或 CLI 长任务跑成日常的团队值得先看一眼单价再决定要不要改成默认。同一周微软给 Copilot 的遥测补了身份与控制两组开关。10 月 12 日的更新里管理员可以用 telemetry.capture.identity 把 Copilot 的活动归到具体的人或机器上它给 OpenTelemetry 数据加三个属性登录用的 Copilot 账号名、本地操作系统账户名与主机名。身份采集默认关闭也与原有的匿名标识分开。另外五类内容采集提示词、回复、工具参数、工具输出与政策细节各自独立开关同样默认全关受管策略的取值优先于本地设置、SDK 配置与环境变量也就是说开发者在本地改配置或设环境变量都盖不过组织策略。官方提醒这些内容可能包含源代码、文件内容、命令、工具结果与工作区路径要按审计需要逐类打开并送到已批准的采集端点。两句放在一起看方向是一致的把入口放开把可观测与成本握在管理员手里。模型越多按任务比单价越重要遥测越细越要先想清楚收集的目的再决定开哪一档。四、一批要动手的收尾Targeted Release、EWS、预认证 URL管理侧这周集中到期的是三条老路头一条是 Microsoft 365 的 Targeted Release。官方公告里说它将在 2027 年 1 月退役代之以 Frontier、Standard 与 Deferred 三档新的发布偏好管理员需要在 2026 年 11 月前把用户登记改到新选项上。Standard 与 Deferred 之间还能各设最多 100 名用户作为例外Deferred 会把更新延后约 30 天且只对明确标注可延后的功能生效。第二条是 Exchange Web Services。这条协议的收尾从 10 月 1 日已经开始没有配置过 EWS 允许列表的租户旧接口会被逐步拦下最终在 2027 年 4 月 1 日彻底关闭微软说明届时不再有例外与延期。风险集中在那些装了之后就没人管的集成上例如多功能打印机的扫描到邮件、老 CRM 与业务软件的同步、第三方备份工具排查一遍清单比等它在某天静默失效要划算。第三条落在 SharePoint Online 与 OneDrive 的预认证 URL 上。这类把授权直接嵌在链接里的地址会在 2027 年 4 月 1 日退役微软同时给了租户级开关用来提前测试改用 Entra ID 令牌之后的 Microsoft Graph 行为。用它的应用要停止依赖内嵌授权的地址与 302 跳转趁早验证。顺带几件小的也值得记一笔。新版 Outlook 要在 10 月中下旬全球下线 Copilot 主题同时移除Wrap up your day那份自动收件箱日报把 AI 能力收拢到以聊天为中心的入口并一并调整导航与 Work IQ 控件已经用上的主题在下线后仍会保留但一旦切换就回不去。Planner 给 Premium 用户加了本地自定义字段最多 10 个文本、数字、日期、是非、选择10 月下旬推出、无需管理员配置。Edge 在 157 版会退役旧的直接 WAM 登录、统一到 OneAuth11 月铺开。另有一条需要动手的Chromium 系浏览器陆续停用 XSLTWindows Server 自带的 RD Web Access 会因此渲染失败依赖它的环境要提前处理。五、速报Power Pages 在两个新区域正式可用。官方公告里Microsoft Power Pages 已在瑞典中部与意大利北部上线让站点能更靠近用户也方便满足区域数据驻留要求。十月补丁之外还有一条单独的 BITS 漏洞。MSRC 在 10 月 13 日登记了 CVE-2026-88159出在后台智能传输服务BITS属于越界读取导致的远程代码执行基础分 8.8、时间分 7.7定级重要。Copilot CLI 走到 1.0.97。这一周的节奏里它先后发布了 1.0.96 与 1.0.97 两个版本延续的是把动态工作流、权限边界与遥测拆成可治理开关的路线。经典 Outlook 的 Copilot 入口往后挪了一步。消息中心的 MC1441784 在 10 月 13 日更新了时间线把功能区旁的新 Copilot 入口从 10 月中旬顺延到 10 月下旬、完成时间推到 11 月中旬许可与管理员设置不变。两场会都在排期里。Microsoft Ignite 2026 定在 11 月 17 日至 20 日地点是旧金山 Moscone 中心开幕主题演讲由纳德拉与 Judson Althoff 主讲GitHub Universe 2026 则排在 10 月 28 日至 29 日主题是agentic era。 
长河君 · 2026/10/15 12:01:48 · 阅读 1.2k 微软技术日报 2026-10-14：十月补丁 1411 个漏洞，.NET 11 交出 RC2
每天 8 点5 分钟看懂微软技术圈。今天是 2026 年 10 月 14 日星期三。今日速览十月补丁星期二把纪录又抬高了一截一家安全媒体数出 1411 个漏洞其中 3 个是零日Windows Shell 那个已经被人用在实际攻击里。.NET 11 走到第二个候选版带上了可以进生产的 go-live 授权正式版排在 11 月的 .NET Conf。一批老接口与旧设置进入收尾M365 的 Targeted Release 明年 1 月退役Exchange Web Services 与 SharePoint 的预认证 URL 都定在 2027 年 4 月关门。微软给 Copilot 的遥测加了两组开关活动可以归到具体账号也可以在不开提示词与回复的前提下单独打开身份采集。一、十月补丁创纪录1411 个漏洞、3 个零日10 月 13 日微软发出十月 Patch Tuesday。按 BleepingComputer 的统计这一批修了 1411 个漏洞是它记录里的最大一次发布其中 70 个被评为严重57 个属于远程代码执行。数字各家略有出入Tenable 数到 1407 个69 严重、1337 重要、1 低Action1 报 1409 个而微软自己在风险分组简报里覆盖的是 1118 个。差异主要来自计数口径例如是否把随 Azure Linux 一同发布的第三方组件、以及本月早些时候单独修掉的那部分算进来。三个零日里一个已经在被利用。CVE-2026-96951 出在 Windows Shell属于绕过安全特性的命令注入攻击者不必认证、通过网络就能绕开网络标记Mark of the Web。这层标记正是 SmartScreen 提示与 Office 受保护视图的触发条件绕开它下载来的恶意文件就少掉一次拦截。该漏洞 CVSS 8.8微软没有说明是谁在利用名字已在 10 月 13 日被 CISA 收进已知被利用漏洞目录。这也是今年第三个被在野利用的 Windows Shell 漏洞前两个分别在 2 月与 4 月修掉。另外两个零日是公开披露之后才补的。CVE-2026-108398 出在 .NET Framework属于不受信任的搜索路径问题本地的已认证攻击者可以放一个构造好的 .NET 程序集并让受保护进程加载从而绕过 Windows Defender 应用程序控制WDAC、在受保护进程里执行代码且不需要用户交互发现者是 Google Project Zero 的 James Forshaw。CVE-2026-92707 出在 MessagePack-CSharp属于内存分配不受控引起的远程拒绝服务这条单靠装 Windows 更新修不掉打包了这个库的应用要各自升级依赖。要给上千条漏洞排优先级微软这次换了个办法。逐条读过一遍并不现实于是它在简报里把它们分进 15 个风险分组分组的依据是要回答的环境问题相同而不是同一个根因或同一个分数。体量最大的几组依次是Windows 文件系统与存储备份 136 条、Office 文档与邮件客户端 135 条、Windows 图形媒体与内容处理 131 条、Windows 核心与内核权限边界 109 条、Windows 安装部署与更新服务 103 条其后是 DNS 与网络地址设施 76 条、设备外设与打印 76 条、远程访问与 RDP 65 条、身份凭据与加密 61 条、目录与联合身份及证书设施 24 条。意思很直白比起照着清单打勾先问一句我们哪里把 RDP 暴露在外面更省事。几条被标为更可能被利用的可以排在前头。目录服务侧有 Windows AD DS 的远程代码执行 CVE-2026-702298.1严重以及两条 AD FS 的伪造漏洞 CVE-2026-96222 与 CVE-2026-108131Exchange 这边有一条伪造 CVE-2026-702799.3与一条远程代码执行 CVE-2026-705718.1严重。按受影响组件数排Excel 以 69 条居首之后是 DNS 服务器 52 条、Windows 内核 46 条、Windows Installer 38 条、Win32 内核子系统 36 条与 SharePoint 34 条。同一天还有一条生命周期消息。Windows 11 24H2 的家庭版与专业版、以及 Windows 10 企业版 LTSB 2016都在 10 月 13 日走到更新终点这一批是它们能收到的最后一次月度安全更新。留在 24H2 上的机器要尽快切到 25H2 或 26H2企业版与教育版的 24H2 则还有一年。二、.NET 11 走到第二个候选版10 月 13 日.NET 团队放出 .NET 11 Release Candidate 2。这个版本带 go-live 授权意味着可以直接在生产环境里用起来官方口径里它是第二个候选版也是距离正式发布只差一个月的收尾版本。正式版排在 11 月的 .NET Conf。配套的开发环境是 Visual Studio 2026 Insiders以及装了 C# Dev Kit 的 Visual Studio Code。这一版的改动铺得很散。类库侧加入了增量读取 CBOR、实验性的复合 ML-KEM 与 HPKE 接口、按特性参数格式化 DataAnnotations 消息以及配置初始 HTTP/2 并发数。运行时的一条改动是在 iOS 与 tvOS 上默认关闭文件锁。SDK 支持在文件级指令里写带引号的值也可以把 MSBuild 属性放进启动配置的参数里MSBuild 在项目求值时的通配符匹配变快NuGet 可以从命令行设置包的最短发布时长给供应链留一道缓冲。F# 拿到了运行时异步、计算表达式里的 reraise、部分 API 要求具名参数、FSharp.Core 集合分配下降、并发异步有界顺带把裁剪与 Native AOT 又推进了一格。离用户更近的两处是 MAUI 与 Windows Forms。MAUI 支持用 C# 直接写界面可以读取 Apple Icon Composer 的素材还能在 Apple 平台上试用为 Shell 处理器写 XAML 并配合热重载。Windows Forms 这一版补齐了视觉样式与系统视觉、辅助功能设置的联动支持延迟显示窗体、在批量更新时挂起绘制与布局新加了 KioskModeManager 组件并为设计器配上引导型分析器。ASP.NET Core 这边则把 QuickGrid 的虚拟化 API 从实验状态转正。放在时间线上看这一步是把前几个月的铺垫收口。官方把 .NET 11 定位成一次小版本主打许多小改进与常规的性能提升而不点语言版本升级。本月上旬公布预发布的 C# Dev Kit 11.0版本号也正是对齐到 .NET 11按现在的节奏剩下的就是把 RC2 跑一遍兼容性等 11 月的正式发布。三、Copilot 的模型货架与遥测开关同时更新10 月 13 日GitHub 把 Google 的 Gemini 4 Argon 放进 Copilot 的模型选择器。官方称这是Google 最新的前沿模型面向复杂编码、智能体与推理任务已正式可用、不再是预览。可选入口覆盖 VS Code、Visual Studio、Copilot CLI、Coding Agent、Copilot 应用、JetBrains IDE、Xcode 与 Eclipse。名单只到 Pro、Max、Business 与 Enterprise 四档而且是分批放开暂时看不到属正常。这次换模型收费方式跟着变了。GitHub 说明 Argon 不占用常规的高级请求额度而是按厂商列表价走用量计费单价由 Google 定。管理员一侧的默认逻辑是只要没有关掉全局默认、也没有单独停用这一款新模型会自动开启想先用政策挡一挡的得去 Copilot 设置的模型政策里处理。对把智能体或 CLI 长任务跑成日常的团队值得先看一眼单价再决定要不要改成默认。同一周微软给 Copilot 的遥测补了身份与控制两组开关。10 月 12 日的更新里管理员可以用 telemetry.capture.identity 把 Copilot 的活动归到具体的人或机器上它给 OpenTelemetry 数据加三个属性登录用的 Copilot 账号名、本地操作系统账户名与主机名。身份采集默认关闭也与原有的匿名标识分开。另外五类内容采集提示词、回复、工具参数、工具输出与政策细节各自独立开关同样默认全关受管策略的取值优先于本地设置、SDK 配置与环境变量也就是说开发者在本地改配置或设环境变量都盖不过组织策略。官方提醒这些内容可能包含源代码、文件内容、命令、工具结果与工作区路径要按审计需要逐类打开并送到已批准的采集端点。两句放在一起看方向是一致的把入口放开把可观测与成本握在管理员手里。模型越多按任务比单价越重要遥测越细越要先想清楚收集的目的再决定开哪一档。四、一批要动手的收尾Targeted Release、EWS、预认证 URL管理侧这周集中到期的是三条老路头一条是 Microsoft 365 的 Targeted Release。官方公告里说它将在 2027 年 1 月退役代之以 Frontier、Standard 与 Deferred 三档新的发布偏好管理员需要在 2026 年 11 月前把用户登记改到新选项上。Standard 与 Deferred 之间还能各设最多 100 名用户作为例外Deferred 会把更新延后约 30 天且只对明确标注可延后的功能生效。第二条是 Exchange Web Services。这条协议的收尾从 10 月 1 日已经开始没有配置过 EWS 允许列表的租户旧接口会被逐步拦下最终在 2027 年 4 月 1 日彻底关闭微软说明届时不再有例外与延期。风险集中在那些装了之后就没人管的集成上例如多功能打印机的扫描到邮件、老 CRM 与业务软件的同步、第三方备份工具排查一遍清单比等它在某天静默失效要划算。第三条落在 SharePoint Online 与 OneDrive 的预认证 URL 上。这类把授权直接嵌在链接里的地址会在 2027 年 4 月 1 日退役微软同时给了租户级开关用来提前测试改用 Entra ID 令牌之后的 Microsoft Graph 行为。用它的应用要停止依赖内嵌授权的地址与 302 跳转趁早验证。顺带几件小的也值得记一笔。新版 Outlook 要在 10 月中下旬全球下线 Copilot 主题同时移除Wrap up your day那份自动收件箱日报把 AI 能力收拢到以聊天为中心的入口并一并调整导航与 Work IQ 控件已经用上的主题在下线后仍会保留但一旦切换就回不去。Planner 给 Premium 用户加了本地自定义字段最多 10 个文本、数字、日期、是非、选择10 月下旬推出、无需管理员配置。Edge 在 157 版会退役旧的直接 WAM 登录、统一到 OneAuth11 月铺开。另有一条需要动手的Chromium 系浏览器陆续停用 XSLTWindows Server 自带的 RD Web Access 会因此渲染失败依赖它的环境要提前处理。五、速报Power Pages 在两个新区域正式可用。官方公告里Microsoft Power Pages 已在瑞典中部与意大利北部上线让站点能更靠近用户也方便满足区域数据驻留要求。十月补丁之外还有一条单独的 BITS 漏洞。MSRC 在 10 月 13 日登记了 CVE-2026-88159出在后台智能传输服务BITS属于越界读取导致的远程代码执行基础分 8.8、时间分 7.7定级重要。Copilot CLI 走到 1.0.97。这一周的节奏里它先后发布了 1.0.96 与 1.0.97 两个版本延续的是把动态工作流、权限边界与遥测拆成可治理开关的路线。经典 Outlook 的 Copilot 入口往后挪了一步。消息中心的 MC1441784 在 10 月 13 日更新了时间线把功能区旁的新 Copilot 入口从 10 月中旬顺延到 10 月下旬、完成时间推到 11 月中旬许可与管理员设置不变。两场会都在排期里。Microsoft Ignite 2026 定在 11 月 17 日至 20 日地点是旧金山 Moscone 中心开幕主题演讲由纳德拉与 Judson Althoff 主讲GitHub Universe 2026 则排在 10 月 28 日至 29 日主题是agentic era。