Microsoft 日历
本周安全要闻：创纪录的 Patch Tuesday、PHP 的艰难时期、最古老的安全漏洞、AI 大军以及更多内容——Microsoft 一次性修复了超过 1,400 个安全漏洞。此前的纪录出现在 9 月。9 月约有 1,000 个漏洞，达到正常月均水平的约十倍，创下了此前的纪录；据 Tenable 称，在距离年底还有两个月时，Microsoft 的 CVE 数量已突破 4,000 个。
这些漏洞中目前仅有一个正在被利用，即影响 Windows 10、11 和部分 Server 版本的 Windows Shell 安全功能绕过漏洞 CVE-2026-96951。
Windows 之言
CVE-2026-108398 此前已被公开披露。至少有 78 个漏洞被评为”严重”级别，其中大多数无需用户交互即可实现远程代码执行。大多数允许远程代码执行。Microsoft 悄然将 Windows 10 的免费更新延长至 2027 年 10 月。该公司将此归因于 LLM。
TLS 说明
根据 Fortra 的分析，今年仅有 26 个 Microsoft 漏洞被列入 CISA KEV 目录，该目录被推荐给管理员用于确定优先级。
另一方面，印度证书颁发机构 eMudhra（emSign）的八个中间证书——六个 TLS、两个代码签名——的私钥被发现已被他人获取。这些证书均链接到 Chrome、Apple 和 Mozilla 所信任的 emSign ECC Root CA – G3。一位名叫 “Wayne” 的研究人员通过用这些密钥对消息进行签名，证明了这一情况。根据 Flüpke 在 Mastodon 上分享的内容，”EM OV TLS CA – G3C” 密钥的私密值仅为 4；其他密钥也在短时间内被破解：
Flüpke 在 Mastodon 上分享的、显示密钥私密值的列表，按相同顺序和原有格式包含了以下 6 个条目。
密钥时间线
列表由 6 个值组成。 – 56 – 230 – 237 – 115 – 155 – 156 – 66
据悉，这些密钥自 2025 年 4 月被创建之时起，便可从公开证书中推导出来。封锁措施迅速跟进。据 The Hacker News 报道，Chrome 在 2 小时内发布了封锁，Mozilla 则在不到 3 小时内封锁了这些证书，将根证书从 NSS 中移除，并发布了 Firefox 更新（CVE-2026-113470）。