Microsoft תיקנה יותר מ־1400 פגיעויות בעדכון אוקטובר השיא

Microsoft הוציאה היום עדכונים שמתקנים יותר מ־1400 פגיעויות אבטחה במערכות Windows ובתוכנות אחרות; אספה זו עולה בהרבה על שיא קודם שנקבע לפני חודש.

עדכוני נפח שיא

עדכון ספטמבר כבר קבע שיא עם כמעט 1000 תיקונים, כעשרה פעמים מעדכון חודשי רגיל של Microsoft. אספת חודש זה מעלה בהרבה על המדד. מהתיקונים שבוצעו החודש לפחות 78 דורגו כקריטיים, כלומר אפשר לנצלם גם עם פעולה מינימלית או בלי פעולה מהמשתמש. רובן מאפשרות לתוקן להריץ קוד שרירותי במערכת חשופה.

Satnam Narang מ-Tenable אמר שמספר הפגיעויות שתוקנו החודש עולה בהרבה על שיא 2020, כש-Microsoft תיקנה 1261 CVE: «כבר עברנו את רף 4000 CVE ועוד שני חודשים לפנינו». Microsoft מייחסת את גילוי פגיעויות רבות כל כך ל-large language models, וסביר להניח של-AI יש תפקיד מרכזי ברבע מהתיקונים.

פרצת zero day אחת ועקיפה שפורסמה לציבור

מהפגיעויות שתוקנו השבוע רק אחת נחשבת zero day, כלומר כבר מנוצלת בשטח. CVE-2026-96951 היא עקיפת פונקציית אבטחה ב-Windows Shell, ופוגעת ב-Windows 10 וב-Windows 11 וכן בחלק מגרסאות Server.

אף שלטערת Microsoft אין עדיין סימנים לניצול, עקיפת פונקציית האבטחה ב-.NET Framework, CVE-2026-108398, כבר פורסמה לציבור מזמן; זה עשוי לתת לתוקפים זמן מוקדם להבין איך לנצל אותה.

תמיכה ב-Windows 10 נמשכה שוב

משתמשי Windows 10 עשויים לשאום אם יהיו עוד עדכוני אבטחה אחרי חודש זה. Microsoft הייתה אמורה להפסיק לשלוח עדכונים ל-Windows 10 באוקטובר 2025, אך אחרי התנגדות משמעותית הוסיפה שנה של עדכונים בחינם; כמה חודשים לפני כן היא כבר האריכה בשקט את התמיכה בשנה, עד אוקטובר 2027.

עומס על צוותי אבטחה ארגוניים

מומחי אבטחה מזהירים שזרם עדכונים גדול באופן חריג מ-Microsoft מוסיף עומס על צוותי אבטחה ארגוניים, שלעיתים קרובות צריכים לבדוק עדכון בודד לפני הפצתו ברשת כדי לוודא שהוא לא ישבור תוכנות אחרות.

Tyler Reguly, דירקטור משנה למחקר ופיתוח באבטחה ב-Fortra, ציין שבקטלוג הפגיעויות המנוצלות הידועות של סוכנות הסייבר והתשתיות האמריקאית מתחילת השנה נכללו רק 26 פגיעויות של Microsoft. צוותים יצליחו אם יעדיפו תחילה בדיוק את 26 אלו. «מנהיגי אבטחה צריכים להתמקד בסיכון ניצול ולשאום אם יש לצוותיהם הבהרה, יכולת ותמיכה לפעול», אמר Reguly.

מקורות: Krebs on Security · Techmeme