Microsoft 2026 年 9 月的 Patch Tuesday 发布修复了974 个 Microsoft CVE，成为迄今为止规模最大的Patch Tuesday发布。此次发布涵盖 Windows 客户端和服务器、Microsoft 365 应用、SQL Server、Exchange Server、Azure、开发工具、身份服务、远程访问组件以及 Windows 核心子系统。Microsoft 还重新发布了 25 个非 Microsoft CVE。
其中已有两个漏洞正被积极利用：Windows Advanced Local Procedure Call (ALPC) 中的 CVE-2026-85880，以及 Windows Update Stack 中的 CVE-2026-81963。这两个都是被评为“重要”的提权漏洞，这也进一步说明，相比仅看严重性标签，漏洞利用状态应当优先考虑。
面对近 1,000 个需要评估的 Microsoft CVE，IT 团队需要采用基于风险的分阶段部署，将活跃利用情况、系统暴露面、业务关键性以及每个受影响系统在环境中所承担的角色纳入考量。
Microsoft 2026 年 9 月补丁解析
在 973 个包含详细严重性信息的 CVE 中，Microsoft 将其中 113 个评为“严重”，860 个评为“重要”。Microsoft 表示，其中 964 个需要客户采取行动，另外 9 个已在 Microsoft 的云基础设施内得到解决。
类别 | 2026 年 9 月 |
已修复的 Microsoft CVE | 974 |
严重 | 113 |
重要 | 860 |
需要客户采取行动的 CVE | 964 |
被积极利用的零日漏洞 | 2 |
严重远程代码执行漏洞 | 82 |
重新发布的非 Microsoft CVE | 25 |
大多数本次发布内容涉及权限提升和远程代码执行：
漏洞类型 | 数量 |
权限提升 | 438 |
远程代码执行 | 258 |
信息泄露 | 173 |
拒绝服务 | 56 |
安全功能绕过 | 19 |
欺骗 | 16 |
篡改 | 13 |
大量权限提升和远程代码执行漏洞的存在，使得识别最有可能成为获取特权访问或导致更大范围入侵路径的系统变得尤为重要。
漏洞集中分布的位置
本月的大多数漏洞都与 Windows 有关，但此次发布还影响到生产力应用程序和关键服务器基础设施。
产品系列 | 已修复的漏洞 | 不同的更新 |
Windows | 723 | 32 |
Office | 111 | 11 |
Office 2016 | 111 | 18 |
SQL Server | 62 | 1 |
开发者工具 | 22 | 36 |
SharePoint Server | 16 | 3 |
Azure | 12 | 4 |
Skype for Business | 10 | 3 |
Exchange Server | 9 | 4 |
其他 | 9 | 9 |
两个正在被积极利用的零日漏洞需要立即关注
Microsoft 已确认两个 Windows 权限提升漏洞正在被积极利用。
CVE | 受影响的组件 | 严重性 | 利用状态 | 为何重要 |
CVE-2026-85880 | Windows 高级本地过程调用 | 重要 | 已检测到漏洞利用 | 成功利用该漏洞可使攻击者从标准用户上下文将权限提升至 SYSTEM。 |
CVE-2026-81963 | Windows Update Stack | 重要 | 已检测到漏洞利用 | 成功利用此漏洞可让攻击者获得提升后的权限，并对已受感染的 Windows 系统拥有更大的控制权。 |
权限提升漏洞通常要求攻击者先具备一定级别的访问权限，但它们可能会将有限访问升级为对受影响系统的控制。由于 Microsoft 已经检测到这些漏洞正被利用，因此这两个漏洞的优先级应高于那些仅因严重性或理论风险而被优先处理的漏洞。
下一步需要优先处理的严重漏洞
Microsoft 将 113 个漏洞评定为严重级别，其中包括 82 个远程代码执行漏洞。不要将它们视为一个统一的整体，而应根据受影响的基础架构、其暴露程度以及被攻破后的潜在影响来确定优先级。
Windows DNS Server
六个严重的远程代码执行漏洞影响 Windows DNS Server：
CVE-2026-69730
CVE-2026-69827
CVE-2026-69858
CVE-2026-69813
CVE-2026-77505
CVE-2026-72987
DNS 是 Windows 网络和 Active Directory 环境的基础。优先处理已集成域的 DNS 服务器，以及任何可从不受信任网络访问的受影响系统。
身份和域基础架构
此次发布包含多个组件中的严重远程代码执行漏洞，而这些组件正是 Windows 身份验证的核心：
CVE | 受影响的组件 |
CVE-2026-69712 | Windows 密钥分发中心 |
CVE-2026-69676 | Windows Kerberos |
CVE-2026-72982 | Windows Netlogon |
Kerberos、密钥分发中心和 Netlogon 在整个 Windows 域中提供身份验证支持。因此，域控制器和其他支持身份服务的系统应成为在这两个已被利用的零日漏洞之后，首批进行评估并打补丁的服务器。
远程访问和网络服务
CVE-2026-69518 影响 Windows Remote Desktop，而 CVE-2026-69590、CVE-2026-72950、CVE-2026-72959 和 CVE-2026-69852 影响 Windows 路由和远程访问服务（RRAS）。
当这些组件可从互联网访问、连接到 VPN 服务，或可从可信度较低的网络分段访问时，可能会造成高优先级风险暴露。IT 团队应识别受影响服务在何处已启用，并将可从外部访问或业务关键型系统提前纳入优先处理队列。
SQL Server 和 Exchange Server
四个严重的远程代码执行漏洞会影响 Microsoft SQL Server：
CVE-2026-67631
CVE-2026-67378
CVE-2026-67636
CVE-2026-67643
数据库和消息传递系统通常包含敏感的业务数据，并且可能以对其他资源具有特权访问的方式运行。请及时检查受影响的 SQL Server 和 Exchange Server 部署，优先处理那些对外暴露、承载关键工作负载或可访问高价值数据的系统。
Hyper-V、故障转移群集和部署基础架构
9 月发布版本还包含基础设施中的严重远程代码执行漏洞，可能影响多个工作负载或下游系统。
CVE | 受影响的组件 | 运营方面的顾虑 |
CVE-2026-80083、CVE-2026-69603 | Windows Hyper-V | 一台存在漏洞的主机可能会让多个来宾工作负载面临风险。 |
CVE-2026-78444、CVE-2026-73010 | Windows 故障转移群集 | 集群系统通常支持高可用性的生产服务。 |
CVE-2026-72954、CVE-2026-72957 | Windows Deployment Services | 部署基础设施可能会影响许多依赖它进行镜像制作或配置的端点。 |
补丁部署时机应考虑可用性要求，但这些系统承载了大量 关键工作负载，延迟修复风险较高。如果立即全面部署可能会中断生产服务，应采用分阶段测试和协调一致的维护窗口。
Microsoft 365 和 Office 应用程序
此次发布包含三个严重的 Word 远程代码执行漏洞、六个严重的 Excel 远程代码执行漏洞，以及四个严重的 Outlook 远程代码执行漏洞。
Office 应用程序仍然很重要，因为恶意文件和电子邮件内容可能会成为进入用户环境的初始路径。这些更新通常应优先跟进已被利用的漏洞和暴露的基础设施，但对于经常进行外部文档交换或拥有高风险用户群体的组织，可能需要加快部署。
如何确定 2026 年 9 月补丁的优先级
没有一种固定时间表适用于所有环境。可先以下列分级作为起点，然后根据暴露面、受影响资产、业务影响、可用缓解措施和测试要求进行调整。
在 72 小时内完成修补
优先处理：
CVE-2026-85880 和 CVE-2026-81963，因为 Microsoft 已确认这些漏洞正在被积极利用
域集成或可从外部访问的系统上的 Windows DNS Server 漏洞
身份基础架构中的 Kerberos、Netlogon、密钥分发中心和 Active Directory 域服务更新
暴露在外网或可远程访问系统上的 Windows Remote Desktop 和 RRAS 漏洞
影响敏感或可从外部访问工作负载的关键 SQL Server 和 Exchange Server 漏洞
关键基础设施上的 Windows Deployment Services、Failover Cluster 和 Hyper-V 漏洞
任何后来被标记为“更可能被利用”或被添加到 CISA 已知被利用漏洞目录中的漏洞
将面向互联网的系统、域控制器、VPN 网关、远程访问服务，以及处理特权凭证或关键工作负载的系统移到这一层级的最前面。
在 1 到 2 周内完成补丁
优先处理：
Microsoft Word、Excel、PowerPoint、Outlook 和 SharePoint 远程代码执行漏洞
媒体、图形、编解码器、WebP、成像及其他客户端漏洞
Windows Hello、Credential Guard 及其他与身份验证相关的权限提升漏洞
没有边缘暴露的虚拟化和存储系统
开发者终端上的 Visual Studio、Visual Studio Code、PowerShell 和 .NET 更新
风险暴露程度和业务角色仍应优先于默认时间线。例如，经常接收外部文档的高风险用户组可能需要更早安装 Office 更新。
常规补丁周期
包括：
暴露范围有限的组件中的较低严重性漏洞
严格受控系统上仅限本地访问的漏洞
在物理访问受限设备上的外设和设备驱动程序问题
受有效补偿性控制保护的非面向互联网系统
补丁优先顺序不应仅由严重性决定。已确认的利用情况、攻击路径、系统暴露程度、所需权限、业务关键性以及对其他系统的潜在影响，能为优先级排序提供更有价值的依据。
值得关注的第三方更新
Microsoft 在本月发布内容中还重新发布了 25 个非 Microsoft 的 CVE。对于按基于 Chromium 的发布节奏管理 Microsoft Edge 的组织，应单独确认相关浏览器更新。
浏览器、开发者工具、开源依赖项和第三方应用程序的更新，应与操作系统更新一起纳入同一漏洞管理工作流程。即使 Windows 补丁已是最新状态，分离的流程也可能造成盲点。
为什么 9 月 Patch Tuesday 对 IT 团队很重要
9 月发布的不仅仅是一次大规模补丁发布。它暴露出 IT 团队需要应对的三个运营挑战。
1. 数量庞大，使手动确定优先级 变得不切实际
近 1,000 个 Microsoft CVE 不可能都以同样的紧急程度处理。IT 团队需要确定哪些资产受到影响、哪些漏洞正在被利用，以及哪些系统承载身份、远程访问、数据库、协作或关键工作负载。
这一评估依赖于准确的资产和软件清单。否则，团队可能会把时间花在风险较低的更新上，而暴露的系统仍然存在漏洞。
2. 核心企业基础设施占比很高
9 月的更新同时涉及身份服务、DNS、远程访问、数据库、消息传递、虚拟化和端点操作系统。这会在服务器和用户设备之间造成优先级重叠，而且每项都需要不同的测试和维护。
分阶段推出有助于团队优先快速处理暴露风险最高的系统，同时在全组织范围部署之前测试更广泛的更新。
3. 补丁验证与部署同样重要
发送更新并不能证明每台设备都已受到保护。系统可能处于脱机状态，安装可能失败，或者端点可能错过部署窗口。
IT 团队需要了解哪些设备仍然存在漏洞、哪些补丁已成功、哪些失败，以及哪些系统需要再次尝试部署或进行额外修复。
Splashtop AEM 如何帮助确定补丁优先级并进行部署
包含 974 个 Microsoft CVE 的 Patch Tuesday 发布带来了两项直接挑战：识别哪些问题与您的环境相关，并快速部署正确的更新。Splashtop AEM 可帮助 IT 团队通过集中式控制台同时管理这两项工作。
了解风险所在：Splashtop AEM 可集中显示漏洞、补丁状态、硬件和软件清单以及端点健康状况。IT 团队可以利用这些上下文信息识别受影响的设备，并了解哪些地方需要紧急修复。
优先处理最重要的漏洞：CVE 洞察和端点级信息可帮助团 队聚焦已被利用的漏洞、高风险软件、关键系统以及支持身份验证或远程访问等敏感功能的设备。
更快部署更新：Splashtop AEM 支持实时补丁、自动化补丁策略、计划部署和基于环的分阶段推出。团队可以先用较小的设备组测试更新，分阶段扩大部署，并监控成功或失败情况，同时保持对整个环境的可见性。
加强现有补丁工作流程：仍在手动处理部分补丁工作的团队，可以将重复性的部署和验证工作自动化。Splashtop AEM 可通过为现有环境增加实时补丁、CVE 可见性和修复能力来增强 Microsoft Intune。使用 RMM 的组织可借助 Splashtop AEM，在需要额外能力的环节加强补丁可见性、自动化和端点工作流程。
借助 Splashtop AEM，更快应对高风险漏洞
9 月创纪录的 Patch Tuesday 表明，补丁管理会多么迅速地演变为优先级排序和验证难题。IT 团队需要识别暴露的设备、部署紧急更新，并确认修复完成，同时不丢失对分布式环境中各系统的跟踪。
Splashtop AEM 将 CVE 可见性、实时补丁、自动化、补丁状态监控和端点洞察整合到一个平台中。
立即开始 Splashtop AEM 免费试用，识别存在漏洞的端点，优先处理高风险更新，并更快部署补丁。
