每天 8 点，5 分钟看懂微软技术圈。今天是 2026 年 10 月 14 日，星期三。
今日速览
- 十月补丁星期二把纪录又抬高了一截：一家安全媒体数出 1411 个漏洞，其中 3 个是零日，Windows Shell 那个已经被人用在实际攻击里。
- .NET 11 走到第二个候选版，带上了可以进生产的 go-live 授权，正式版排在 11 月的 .NET Conf。
- 一批老接口与旧设置进入收尾：M365 的 Targeted Release 明年 1 月退役，Exchange Web Services 与 SharePoint 的预认证 URL 都定在 2027 年 4 月关门。
- 微软给 Copilot 的遥测加了两组开关：活动可以归到具体账号，也可以在不开提示词与回复的前提下单独打开身份采集。
一、十月补丁创纪录：1411 个漏洞、3 个零日
10 月 13 日，微软发出十月 Patch Tuesday。 按 BleepingComputer 的统计，这一批修了 1411 个漏洞，是它记录里的最大一次发布，其中 70 个被评为严重，57 个属于远程代码执行。数字各家略有出入：Tenable 数到 1407 个（69 严重、1337 重要、1 低），Action1 报 1409 个，而微软自己在风险分组简报里覆盖的是 1118 个。差异主要来自计数口径，例如是否把随 Azure Linux 一同发布的第三方组件、以及本月早些时候单独修掉的那部分算进来。
三个零日里，一个已经在被利用。 CVE-2026-96951 出在 Windows Shell，属于绕过安全特性的命令注入，攻击者不必认证、通过网络就能绕开"网络标记"（Mark of the Web）。这层标记正是 SmartScreen 提示与 Office 受保护视图的触发条件，绕开它，下载来的恶意文件就少掉一次拦截。该漏洞 CVSS 8.8，微软没有说明是谁在利用，名字已在 10 月 13 日被 CISA 收进已知被利用漏洞目录。这也是今年第三个被在野利用的 Windows Shell 漏洞，前两个分别在 2 月与 4 月修掉。
另外两个零日是公开披露之后才补的。 CVE-2026-108398 出在 .NET Framework，属于不受信任的搜索路径问题，本地的已认证攻击者可以放一个构造好的 .NET 程序集并让受保护进程加载，从而绕过 Windows Defender 应用程序控制（WDAC）、在受保护进程里执行代码，且不需要用户交互，发现者是 Google Project Zero 的 James Forshaw。CVE-2026-92707 出在 MessagePack-CSharp，属于内存分配不受控引起的远程拒绝服务，这条单靠装 Windows 更新修不掉，打包了这个库的应用要各自升级依赖。
要给上千条漏洞排优先级，微软这次换了个办法。 逐条读过一遍并不现实，于是它在简报里把它们分进 15 个"风险分组"，分组的依据是"要回答的环境问题相同"，而不是同一个根因或同一个分数。体量最大的几组依次是：Windows 文件系统与存储备份 136 条、Office 文档与邮件客户端 135 条、Windows 图形媒体与内容处理 131 条、Windows 核心与内核权限边界 109 条、Windows 安装部署与更新服务 103 条，其后是 DNS 与网络地址设施 76 条、设备外设与打印 76 条、远程访问与 RDP 65 条、身份凭据与加密 61 条、目录与联合身份及证书设施 24 条。意思很直白：比起照着清单打勾，先问一句"我们哪里把 RDP 暴露在外面"更省事。
几条被标为"更可能被利用"的可以排在前头。 目录服务侧有 Windows AD DS 的远程代码执行 CVE-2026-70229（8.1，严重），以及两条 AD FS 的伪造漏洞 CVE-2026-96222 与 CVE-2026-108131；Exchange 这边有一条伪造 CVE-2026-70279（9.3）与一条远程代码执行 CVE-2026-70571（8.1，严重）。按受影响组件数排，Excel 以 69 条居首，之后是 DNS 服务器 52 条、Windows 内核 46 条、Windows Installer 38 条、Win32 内核子系统 36 条与 SharePoint 34 条。
同一天还有一条生命周期消息。 Windows 11 24H2 的家庭版与专业版、以及 Windows 10 企业版 LTSB 2016，都在 10 月 13 日走到更新终点，这一批是它们能收到的最后一次月度安全更新。留在 24H2 上的机器要尽快切到 25H2 或 26H2，企业版与教育版的 24H2 则还有一年。
二、.NET 11 走到第二个候选版
10 月 13 日，.NET 团队放出 .NET 11 Release Candidate 2。 这个版本带 go-live 授权，意味着可以直接在生产环境里用起来；官方口径里，它是第二个候选版，也是距离正式发布只差一个月的收尾版本。正式版排在 11 月的 .NET Conf。配套的开发环境是 Visual Studio 2026 Insiders，以及装了 C# Dev Kit 的 Visual Studio Code。
这一版的改动铺得很散。 类库侧加入了增量读取 CBOR、实验性的复合 ML-KEM 与 HPKE 接口、按特性参数格式化 DataAnnotations 消息，以及配置初始 HTTP/2 并发数。运行时的一条改动是在 iOS 与 tvOS 上默认关闭文件锁。SDK 支持在文件级指令里写带引号的值，也可以把 MSBuild 属性放进启动配置的参数里；MSBuild 在项目求值时的通配符匹配变快；NuGet 可以从命令行设置包的最短发布时长，给供应链留一道缓冲。F# 拿到了运行时异步、计算表达式里的 reraise、部分 API 要求具名参数、FSharp.Core 集合分配下降、并发异步有界，顺带把裁剪与 Native AOT 又推进了一格。
离用户更近的两处是 MAUI 与 Windows Forms。 MAUI 支持用 C# 直接写界面，可以读取 Apple Icon Composer 的素材，还能在 Apple 平台上试用为 Shell 处理器写 XAML 并配合热重载。Windows Forms 这一版补齐了视觉样式与系统视觉、辅助功能设置的联动，支持延迟显示窗体、在批量更新时挂起绘制与布局，新加了 KioskModeManager 组件，并为设计器配上引导型分析器。ASP.NET Core 这边则把 QuickGrid 的虚拟化 API 从实验状态转正。
放在时间线上看，这一步是把前几个月的铺垫收口。 官方把 .NET 11 定位成一次小版本，主打许多小改进与常规的性能提升，而不点语言版本升级。本月上旬公布预发布的 C# Dev Kit 11.0，版本号也正是对齐到 .NET 11；按现在的节奏，剩下的就是把 RC2 跑一遍兼容性，等 11 月的正式发布。
三、Copilot 的模型货架与遥测开关同时更新
10 月 13 日，GitHub 把 Google 的 Gemini 4 Argon 放进 Copilot 的模型选择器。 官方称这是"Google 最新的前沿模型"，面向复杂编码、智能体与推理任务，已正式可用、不再是预览。可选入口覆盖 VS Code、Visual Studio、Copilot CLI、Coding Agent、Copilot 应用、JetBrains IDE、Xcode 与 Eclipse。名单只到 Pro+、Max、Business 与 Enterprise 四档，而且是分批放开，暂时看不到属正常。
这次换模型，收费方式跟着变了。 GitHub 说明 Argon 不占用常规的高级请求额度，而是按厂商列表价走用量计费，单价由 Google 定。管理员一侧的默认逻辑是：只要没有关掉全局默认、也没有单独停用这一款，新模型会自动开启；想先用政策挡一挡的，得去 Copilot 设置的模型政策里处理。对把智能体或 CLI 长任务跑成日常的团队，值得先看一眼单价再决定要不要改成默认。
同一周，微软给 Copilot 的遥测补了身份与控制两组开关。 10 月 12 日的更新里，管理员可以用 telemetry.capture.identity 把 Copilot 的活动归到具体的人或机器上，它给 OpenTelemetry 数据加三个属性：登录用的 Copilot 账号名、本地操作系统账户名与主机名。身份采集默认关闭，也与原有的匿名标识分开。另外五类内容采集（提示词、回复、工具参数、工具输出与政策细节）各自独立开关，同样默认全关；受管策略的取值优先于本地设置、SDK 配置与环境变量，也就是说开发者在本地改配置或设环境变量都盖不过组织策略。官方提醒这些内容可能包含源代码、文件内容、命令、工具结果与工作区路径，要按审计需要逐类打开，并送到已批准的采集端点。
两句放在一起看，方向是一致的：把入口放开，把可观测与成本握在管理员手里。 模型越多，按任务比单价越重要；遥测越细，越要先想清楚收集的目的，再决定开哪一档。
四、一批要动手的收尾：Targeted Release、EWS、预认证 URL
管理侧这周集中到期的是三条老路，头一条是 Microsoft 365 的 Targeted Release。 官方公告里说它将在 2027 年 1 月退役，代之以 Frontier、Standard 与 Deferred 三档新的发布偏好；管理员需要在 2026 年 11 月前把用户登记改到新选项上。Standard 与 Deferred 之间还能各设最多 100 名用户作为例外，Deferred 会把更新延后约 30 天，且只对明确标注可延后的功能生效。
第二条是 Exchange Web Services。 这条协议的收尾从 10 月 1 日已经开始：没有配置过 EWS 允许列表的租户，旧接口会被逐步拦下，最终在 2027 年 4 月 1 日彻底关闭，微软说明届时不再有例外与延期。风险集中在那些"装了之后就没人管"的集成上，例如多功能打印机的扫描到邮件、老 CRM 与业务软件的同步、第三方备份工具，排查一遍清单比等它在某天静默失效要划算。
第三条落在 SharePoint Online 与 OneDrive 的预认证 URL 上。 这类把授权直接嵌在链接里的地址会在 2027 年 4 月 1 日退役，微软同时给了租户级开关，用来提前测试改用 Entra ID 令牌之后的 Microsoft Graph 行为。用它的应用要停止依赖内嵌授权的地址与 302 跳转，趁早验证。
顺带几件小的也值得记一笔。 新版 Outlook 要在 10 月中下旬全球下线 Copilot 主题，同时移除"Wrap up your day"那份自动收件箱日报，把 AI 能力收拢到以聊天为中心的入口，并一并调整导航与 Work IQ 控件；已经用上的主题在下线后仍会保留，但一旦切换就回不去。Planner 给 Premium 用户加了本地自定义字段，最多 10 个（文本、数字、日期、是非、选择），10 月下旬推出、无需管理员配置。Edge 在 157 版会退役旧的直接 WAM 登录、统一到 OneAuth，11 月铺开。另有一条需要动手的：Chromium 系浏览器陆续停用 XSLT，Windows Server 自带的 RD Web Access 会因此渲染失败，依赖它的环境要提前处理。
五、速报
Power Pages 在两个新区域正式可用。 官方公告里，Microsoft Power Pages 已在瑞典中部与意大利北部上线，让站点能更靠近用户，也方便满足区域数据驻留要求。
十月补丁之外，还有一条单独的 BITS 漏洞。 MSRC 在 10 月 13 日登记了 CVE-2026-88159，出在后台智能传输服务（BITS），属于越界读取导致的远程代码执行，基础分 8.8、时间分 7.7，定级"重要"。
Copilot CLI 走到 1.0.97。 这一周的节奏里它先后发布了 1.0.96 与 1.0.97 两个版本，延续的是把动态工作流、权限边界与遥测拆成可治理开关的路线。
经典 Outlook 的 Copilot 入口往后挪了一步。 消息中心的 MC1441784 在 10 月 13 日更新了时间线，把功能区旁的新 Copilot 入口从 10 月中旬顺延到 10 月下旬、完成时间推到 11 月中旬；许可与管理员设置不变。
两场会都在排期里。 Microsoft Ignite 2026 定在 11 月 17 日至 20 日，地点是旧金山 Moscone 中心，开幕主题演讲由纳德拉与 Judson Althoff 主讲；GitHub Universe 2026 则排在 10 月 28 日至 29 日，主题是"agentic era"。