Microsoft retter over 1.400 fejl – én var allerede udnyttet

Microsoft udsendte den 13. oktober 2026 sikkerhedsrettelser til over 1.400 sårbarheder på tværs af sine produkter: BleepingComputers optælling når 1.411, heraf 70 kritiske og tre zero-days, og Windows Shell-fejlen CVE-2026-96951 var allerede udnyttet i angreb. Den bekræftede udnyttelse gør den fejl til den første prioritet i udrulningen.

For berørte Windows-pc'er er rækkefølgen at installere den relevante oktoberopdatering mod Shell-fejlen først, derefter tage stilling til de offentligt kendte fejl og de øvrige kritiske rettelser i produkter, der faktisk bruges. Det kræver også et tjek af Windows-udgaven: Nogle udgaver fik deres sidste ordinære månedsopdatering i denne runde, mens andre fortsat er understøttet.

Den udnyttede Shell-fejl kommer først

Fejlen i Windows Shell er en omgåelse af sikkerhedsfunktionen Mark of the Web. Funktionen markerer normalt indhold med oprindelse på internettet, så Windows og tilknyttede beskyttelser kan behandle det derefter. En omgåelse kan svække den skelnen, som brugeren og systemets sikkerhedsfunktioner ellers bygger på.

Den offentliggjorte beskrivelse knytter fejlen til kommandoindsprøjtning og en sikkerhedsomgåelse over netværk. Den beskriver ikke en fuld angrebskæde eller omfanget af de angreb, der allerede er sket. Prioriteringen afhænger ikke af et skøn over antallet af ramte maskiner: Aktiv udnyttelse er bekræftet, og en rettelse er tilgængelig.

Det gør pc'er, der modtager filer og links fra eksterne afsendere, oplagte at tage med i den første bølge. Den konkrete opdatering skal dog vælges efter den installerede Windows-udgave. Et CVE-nummer angiver sårbarheden; det er ikke i sig selv navnet på en opdateringspakke, som passer til alle versioner.

Offentliggjorte fejl kræver en anden vurdering

De to andre zero-days var offentligt kendte før rettelsen, men omtalen af dem angiver ikke bekræftet aktiv udnyttelse. Den ene vedrører .NET Framework. Under de beskrevne betingelser kan en angriber med adgang til et berørt system få en særligt udformet .NET-komponent indlæst og omgå håndhævelsen af Windows Defender Application Control.

Den anden vedrører MessagePack-CSharp og kan føre til et tjenestenedbrud over netværk. Den er derfor relevant, hvor den berørte komponent indgår i en tjeneste, der kan nås af andre. Det er en anden eksponering end på en Windows-pc med Shell-fejlen, og de to risici bør ikke få samme placering alene fordi begge blev omtalt som zero-days.

Efter de kendte fejl kommer de øvrige kritiske rettelser i installerede og eksponerede produkter. En serverfunktion, der kan nås over netværk, kan kræve hurtigere behandling end en komponent, som organisationen ikke bruger. Alvorlighedsklassen siger noget om en sårbarhed, men den fortæller ikke alene, hvilke maskiner der er mest udsatte i et bestemt miljø.

Hvorfor totalen varierer

Tom's Guides optælling når 1.413 sårbarheder, hvoraf 1.102 knyttes til Windows, 134 til Office, 61 til udviklerværktøjer, 36 til SharePoint Server og 22 til SQL Server. Tallet for hele udgivelsen beskriver altså flere Microsoft-produkter; det er ikke antallet af fejl, som nødvendigvis findes på en enkelt Windows-pc.

Den lavere optælling medregner kun sårbarheder, som Microsoft udsendte på selve Patch Tuesday, og holder rettelser fra tidligere i måneden udenfor. De offentliggjorte opgørelser giver imidlertid ikke en fælles liste, der udpeger præcis hvilke to registreringer der skiller totalerne. Forskellen kan derfor beskrives som et spørgsmål om optælling og afgrænsning, men ikke sikkert forklares med to navngivne CVE'er.

For en udrulning er produktfordelingen mere nyttig end konkurrencen mellem totalerne. Windows-rettelser hører til på de berørte Windows-maskiner, mens rettelser til eksempelvis Office eller en serverkomponent skal kobles til installationer af netop de produkter. Det store samlede tal er et mål for udgivelsens omfang, ikke en færdig prioriteret liste.

Windows-udgaven afgør pakken

Den officielle Microsoft-side om KB5126651 daterer opdateringen til 13. oktober 2026 og angiver Windows 10 version 1809 og Windows Server 2019 som berørte systemer. Siden beskriver både sikkerhedsrettelser og kvalitetsændringer, blandt andet for BitLocker To Go, ReFS, Secure Boot og Storage Spaces.

Versionsnavnene kræver omhu. Windows 10 version 1809 hører til det senere LTSC-spor; det er ikke det samme som Windows 10 Enterprise LTSB 2016. En pakke til 1809 kan derfor ikke bruges som bevis for, at et system på det ældre LTSB-spor får samme pakke eller samme fremtidige support.

Oktoberrunden er den sidste ordinære månedsopdatering til Windows 11 version 24H2 i Home- og Pro-udgaverne samt til Windows 10 Enterprise LTSB 2016. Windows 11 version 24H2 i Enterprise- og Education-udgaverne følger en anden supportperiode. For brugere og administratorer er både versionsnummer og udgave derfor nødvendige oplysninger, når næste opdatering skal planlægges.

Den kumulative opdatering til Windows 10 version 1809 og Windows Server 2019 har desuden et dokumenteret driftsproblem i visse lokale Exchange Server-opsætninger: Brugere kan få problemer med Outlook på web, afsendelse af mail eller adgang til postkasser. Det taler for en planlagt serverudrulning med kontrol af de berørte tjenester efter installationen, samtidig med at sikkerhedsrettelserne behandles som nødvendige.

Rækkefølgen for udrulning

Første bølge bør omfatte understøttede, berørte Windows-maskiner, hvor Shell-fejlen er relevant. Derefter følger systemer med de offentligt kendte fejl og kritiske sårbarheder, hvor den pågældende funktion er installeret og eksponeret. De resterende relevante opdateringer kan indgå i den almindelige udrulning, så en prioritering ikke bliver til en permanent udsættelse.

På servere skal valg af pakke og tidspunkt også tage højde for kendte problemer i den konkrete opdatering. For Windows-udgaver, der har fået deres sidste ordinære månedsopdatering, løser installationen oktobers fejl, men ikke behovet for fortsat sikkerhedsvedligeholdelse. Det kræver et understøttet versionsspor eller, hvor det tilbydes, særskilte forlængede sikkerhedsopdateringer.

Læs også: