Według TurboLab.it Microsoft rozesłał aktualizacje z październikowego Patch Tuesday 13 października 2026 roku. BleepingComputer i Zero Day Initiative wskazały trzy luki zero-day: CVE-2026-96951, CVE-2026-108398 i CVE-2026-92707. Pierwszą opisano jako aktywnie wykorzystywaną, a dwie pozostałe jako publicznie ujawnione przed udostępnieniem poprawek.

Trzy zgłoszone luki i ich komponenty

Zestawienie identyfikatorów i statusów opublikowały BleepingComputer oraz Zero Day Initiative. Zgłoszone powiązania wyglądają następująco:

  • CVE-2026-96951 — luka w Windows Shell umożliwiająca obejście funkcji zabezpieczeń; NHS England Digital i BleepingComputer opisały ją jako aktywnie wykorzystywaną.
  • CVE-2026-108398 — luka w .NET Framework umożliwiająca obejście funkcji zabezpieczeń; według BleepingComputer i Zero Day Initiative została publicznie ujawniona i nie była aktywnie wykorzystywana.
  • CVE-2026-92707 — luka typu odmowa usługi w MessagePack-CSharp; BleepingComputer i Zero Day Initiative opisały ją jako publicznie ujawnioną i nieaktywnie wykorzystywaną.

Zero-day to luka, o której wiadomo przed udostępnieniem poprawki; w tym przypadku relacje rozróżniają lukę zgłoszoną jako wykorzystywana w atakach od dwóch wcześniej ujawnionych publicznie.

Jakich produktów dotyczyła aktualizacja

TurboLab.it wymienił Windows, Microsoft Office, Exchange Server, SQL Server, usługi Azure, .NET, Visual Studio i Microsoft Edge. Według tego serwisu aktualizacje obejmowały też inne produkty Microsoftu.

TurboLab.it zalecił administratorom firmowym ocenę poprawek i ich stopniowe wdrażanie. Zgłoszony status CVE-2026-96951 pozwala odróżnić ją od dwóch luk opisanych jako publicznie ujawnione, lecz nieaktywne w atakach.