微軟 10 月更新的遠端程式碼執行漏洞 314 個，今年最多：DHCP、DNS 伺服器各 10 個，四個 9.8 分不需認證

趨勢新聞2026 年 10 月 18 日

微軟 2026 年 10 月 13 日（美國時間）發布的例行安全更新，發行說明列出 1,453 個微軟 CVE，Windows 佔 1,105 個。本站逐筆解析微軟安全回應中心（MSRC）的 CVRF 機器可讀文件，只算微軟擔任編號機構、修訂紀錄最早日期是 10 月 13 日的 CVE，共 1,408 個，其中影響類型標為「遠端程式碼執行」的 314 個，是 2026 年各月例行更新裡最多的。Windows DHCP 伺服器與 DNS 伺服器各有 10 個遠端程式碼執行漏洞，四個 CVSS 3.1 基本分數 9.8，攻擊者不需認證、不需使用者互動。

314 這個數字是本站計算，不是微軟公布的統計。微軟的發行說明只列各產品線的漏洞總數，沒有按影響類型分。同一份 10 月文件還收了 10 月 13 日以外發布的條目：10 月 8 日的 Azure App Service 與 Dataverse 各 1 個、10 月 15 日補上的 22 個 Office 系列漏洞、10 月 16 日的 Edge 與 Raw Image Extension 共 5 個，全部算進去是 343 個。部分外電寫 315 個，本站用上述兩種算法都得不到這個數字。數字取自 MSRC 10 月 18 日的文件版本，MSRC 發布後仍會修訂。

用同一個方法數 2026 年其他月份，例行更新當天首發的遠端程式碼執行漏洞依序是：1 月 22 個、2 月 11 個、3 月 16 個、4 月 20 個、5 月 29 個、6 月 54 個、7 月 145 個、8 月 112 個、9 月 259 個。本站只比對了 2026 年的資料，沒有回查更早的年份，因此只能說是今年最多。這個月唯一標示「已遭利用」的是 Windows Shell 安全功能繞過漏洞 CVE-2026-96951，本站 10 月 15 日已另文報導；另有一個 .NET Framework 安全功能繞過漏洞 CVE-2026-108398 標示「已公開揭露」。

DHCP 伺服器：10 個，5 個列「重大」

Windows DHCP 伺服器的 10 個遠端程式碼執行漏洞中，CVE-2026-88117、88119、88120、88171、96934 五個列為「重大」（Critical），其餘列「重要」（Important）。分數最高的是 CVE-2026-96934 與 CVE-2026-96320，都是 9.8。MSRC 對 CVE-2026-96934 的描述是 DHCP 伺服器的釋放後使用（use after free）漏洞，常見問答寫：未經認證的攻擊者透過網路對受影響的服務送出特製封包，就可能在目標系統執行程式碼，不需認證或使用者互動。受影響產品列 Windows Server 2012 到 2025，含 Server Core 安裝。上個月的例行更新，同一元件也有 12 個遠端程式碼執行漏洞。

用戶端也有一個：Windows DHCP 用戶端的 CVE-2026-70250 列為「重大」，分數 8.8，攻擊向量是「相鄰網路」，攻擊者要和目標在同一個區域網路上。

DNS 伺服器：10 個，兩個 9.8 分

標為「DNS 伺服器角色」的遠端程式碼執行漏洞也是 10 個，全部列「重要」。CVE-2026-83869 與 CVE-2026-96113 兩個是 9.8 分；CVE-2026-83869 的描述是 DNS 伺服器的整數下溢，常見問答的攻擊方式與上面的 DHCP 漏洞相同：送出特製封包，不需認證或使用者互動。七個 8.8 分的漏洞裡，有五個的向量註明需要使用者互動。標在「Windows DNS」元件下另有一個 CVE-2026-70119，名稱是遠端程式碼執行，分數 6.5，向量只影響可用性。

DHCP 與 DNS 這 20 個遠端程式碼執行漏洞，MSRC 全部標示「未公開揭露、未遭利用」，可利用性評估是「較不可能被利用」或「不太可能被利用」。Windows Server 2025、2022、2019、2016 的 10 月累積更新依序是 KB5126646、KB5126655、KB5126651、KB5126868。