微軟 2026 年 11 月的「修補星期二」：1,095 個漏洞中有 1 個評分為 6.5，且正遭受攻擊

微軟本月唯一遭利用的漏洞被評為「中等」風險——且擁有微軟所發布的最高「漏洞利用成熟度」評級。該漏洞是由一名研究人員透過人工智慧發現的，且已在實際環境中被利用。與此同時，本月實際導致防火牆遭攻破的漏洞，根本就不是微軟的。

一覽無遺

標題數量指微軟已進行「影響等級」分級的 CVE，不包含 267 項重新發布的第三方 CVE（Azure Linux／Mariner 套件、Google 指派的 Chromium CVE）。若包含這些項目，該文件共計 1,362 筆。Tenable 與 Krebs 報告的數字為 1,093 筆，ZDI 約為 1,090 筆，而 BleepingComputer 則以不同基準統計出 1,235 筆。 我們的數據源自 11 月 11 日的修訂版。11 月的數字較 10 月的 1,418 下降了 23% —— 這是第二個達到四位數的月份，但並非新紀錄。

按衝擊等級分類的釋出

1,095 項由微軟發布的 CVE。

權限提升佔本次漏洞披露的 49%，且需先取得立足點。遠端程式碼執行則是無需立足點即可發動的攻擊類別。Tenable 統計共有 287 項受影響產品；其中受影響最嚴重的分別是 Office Word（65 項）、Office Excel（64 項）以及 SQLServer （53 項）。

本月真正重要的是什麼

五件事，依優先順序排列。

1. 唯一被利用的微軟漏洞評分為 6.5 —— 而微軟將該漏洞的利用成熟度評定為「高」

這是評級中的最高等級：廣泛流傳且可靠的漏洞利用程式碼。CVE-2026-124194 是一項會洩露 NTLM 雜湊值的 Outlook 漏洞，而其 CVSS 分數被低估了，因為該漏洞的影響僅限於機密性，且需要使用者互動才會觸發。在 1,095 項 CVE 中，有 1,084 項被評定為 「未經證實」 ，另有 1 項評級為 概念驗證。CVSS 評定為「中等」。但根據漏洞利用成熟度評估，現在就該採取行動。

2. 其修補程式並未包含在 Windows 累積更新中

此修正程式將於 Office 的安全更新中提供——即 Microsoft 365 企業版應用程式及 Office LTSC 2021/2024——而非 KB5132061。若某個環境僅部署每月 Windows 累積更新便以為已解決問題，仍將面臨安全風險。CISA 設定的截止日期為 11 月 24 日。

3. 人工智慧在同一個月的兩個不同時段都出現了

微軟將這項 Outlook 漏洞的發現歸功於一位「使用 Anthropic 的 Claude」進行研究的研究人員——且該漏洞在被發現時，早已遭到利用。在同一事件中，攻擊者利用 AI 輔助建構了 php2shell 漏洞利用鏈，成功突破帕洛阿爾托防火牆的防禦。漏洞的發現與利用均在同一則新聞週期內加速發生。

4. 本月真正的損害來自 PHP，而非微軟

CVE-2026-109618 和 CVE-2026-109619 是 PHP 核心本身存在的未經身份驗證遠端程式碼執行（RCE）漏洞 — EPSS 0.9999，是本週期內所有 CVE 中最高的。亞馬遜的蜜罐在公開披露前四天——即資訊仍處於保密階段時——便偵測到一次攻擊嘗試。至少有 25 台 Palo Alto 防火牆遭到入侵。這些漏洞均未出現在「修補星期二」的更新清單中。

5. 成交量持續因風險因素而萎縮

1,095 項微軟 CVE，其中 1 項遭利用——佔比 0.09%。VulnCheck 的數據顯示，已發布的 CVE 數量年增 45%，而經確認遭利用的 CVE 數量則增長 10%；遭利用的比例已從 2.7% 的峰值降至 1.4%。 然而，從漏洞公開到遭利用的中位數時間已從 120 天縮短至 80 天。漏洞庫存正在稀釋；引信正不斷縮短。

減緩措施指引

這五項微軟修補程式需要制定策略，而不僅僅是安裝修補程式。針對每一項：攻擊者實際會如何利用它、您應在自身環境中留意哪些事項，以及除了部署更新之外還應採取哪些措施。

CVE-2026-124194 — Microsoft Outlook，NTLM 雜湊值外洩

已遭利用 · CVSS 6.5 · 漏洞利用成熟度：高 · KEV 有效期至 2026 年 11 月 24 日 · CWE-356

微軟將此歸類為「偽造」攻擊；但從功能上來看，這實質上屬於憑證外洩。經特殊設計的訊息檔案會使 Outlook 在未顯示慣常的「外部內容」警告的情況下，連線至攻擊者所控制的位置，隨後 Windows 會自動進行驗證，並將使用者的 NTLMv2 雜湊值交給攻擊者。該 6.5 分評級反映了「僅涉及機密性」的影響，且需使用者互動——但並未說明轉發的網域憑證究竟有何價值。

攻擊者如何利用此漏洞

• 傳送一個經過精心設計的訊息檔案；使用者開啟該檔案。 預覽窗格並非向量 — 必須開啟該檔案。
• Outlook 會建立外發連線，而 Windows 則會自動進行身份驗證，從而洩露 NTLMv2 雜湊值。
• 若遇到任何缺乏 SMB/LDAP 簽名或「身份驗證擴展保護」功能的服务，請即時進行中繼攻擊；否則，您也可以在離線狀態下從容地破解它。

注意事項

• 在開啟訊息檔案後不久，便會向外部目的地發送出站 SMB 連線（445 埠）。
• 針對網際網路目標的 NTLM 驗證嘗試 — 請檢查「NTLM 運作」事件日誌。
• SMB 簽名、LDAP 簽名及 EPA 是否確實被強制執行。正是這些機制，才讓資料外洩事件中洩露的雜湊值從單純的資料外洩，演變成令人頭疼的問題。
• 目前尚未發布任何 IOC，也未指名任何行為者，因此「行為追蹤」是唯一可行的方法。

減緩措施指引

• 請部署 Office 更新，而不仅仅是 Windows 累積更新。 Microsoft 365 Apps for Enterprise 以及 Office LTSC 2021/2024 均包含此修正程式。這正是最容易讓人誤以為已安裝修補程式，實則尚未安裝的情況。
• 終端裝置優先於伺服器。傳遞方式為電子郵件，而目標對象是個人。
• 若尚未啟用，請強制實施 SMB 和 LDAP 簽名，以及「驗證的延伸保護」功能。這些措施能有效遏止此類漏洞的所有未來變種所引發的中繼攻擊，而不僅限於此 CVE。
• 在邊界處封鎖外發的 SMB 連線。這幾乎沒有正當的理由。

CVE-2026-116928 — Windows 搜尋元件，遠端程式碼執行

嚴重 · CVSS 9.8 · AV:N / PR:N / UI:N · 觸發條件：索引附件 · 尚未被利用

無需使用者互動的預驗證遠端程式碼執行（RCE）漏洞。使其比其他評分 9.8 的漏洞更為嚴重的關鍵細節在於：發送至 Exchange 伺服器的惡意附件在被索引時會自動處理。使用者無需開啟任何檔案。需同時套用 Windows 和 Exchange 的修補程式，才能完全解決此漏洞。

攻擊者如何利用此漏洞

• 將一份精心製作的附件傳送至任何已啟用索引功能的 Exchange 伺服器上的信箱。
• 在人類看到該訊息之前，搜尋索引器會先將其解析並執行。

注意事項

• 已啟用內容索引功能的 Exchange 伺服器——這類伺服器佔了絕大多數。
• 來自搜尋索引器或 Exchange 傳輸元件的意外子程序。
• 已啟用 Windows Search 功能，且允許上傳檔案的共用資料夾上的檔案伺服器。

減緩措施指引

• 修補程式 同時修補 Windows 與 Exchange。此修復方案僅解決了一半的問題，仍存在安全漏洞。
• 請以與遭利用的項目相同的緊迫感來處理此事——無需驗證、無需互動，且其傳遞機制是每個組織都已運作的。
• 請確認更新已套用至 DAG 中的每台伺服器，而不僅是您測試的那台。

CVE-2026-119958 — Windows LDAP，遠端程式碼執行

嚴重 · CVSS 9.8 · 越界寫入 · AV:N / PR:N / UI:N · 尚未被利用

LDAP 服務中發生未經驗證的越界寫入。由於 LDAP 運行於每台網域控制器上，這使得此問題成為十一月版的 DNS 問題：存在漏洞的服務與核心資產位於同一台主機上。

攻擊者如何利用此漏洞

• 將精心設計的 LDAP 流量傳送至可連線的網域控制器。無需憑證，也無需點擊任何按鈕。
• 在 LDAP 服務上下文中執行 — 在域控制器（DC）上，這即是指目錄本身。

注意事項

• 哪些網路能夠連通您資料中心的 389/636 埠？答案通常是「比您預期的還要多」。
• LDAP 服務會發生當機或重新啟動，但並未伴隨相應的變更。
• 暴露於客體、遠端存取或營運技術（OT）區段的資料中心（DC）。

減緩措施指引

• 首先處理網域控制器，再處理一般的伺服器環境。目錄中的其他一切都取決於它們。
• 在部署期間限制 LDAP 的可達性。網路控制措施能爭取時間；唯有套用修補程式才能消除此錯誤。
• 既然您已經看到這裡：如果尚未強制實施 LDAP 簽名，本月將為您提供兩個獨立的理由來解決這個問題。

CVE-2026-88218 — Windows DNSServer ，遠端程式碼執行

嚴重 · CVSS 9.8 · AV:N / PR:N / UI:N · 本週期內有 4 項 DNS CVE · 目前尚未被利用

Windows DNS 中的未經身份驗證遠端程式碼執行漏洞，是本週期四項 DNS 漏洞之一，亦屬於 ZDI 列為「可引發蠕蟲傳播」的 30 項 CVE 之一。在大多數環境中，DNSServer 皆運行於網域控制器上，因此此漏洞與上文提到的 LDAP 漏洞影響範圍相同——這意味著只需一次維護時段即可同時修復這兩項漏洞。

攻擊者如何利用此漏洞

• 向任何可連線的 Windows DNS 伺服器傳送一個精心製作的封包。
• 在 DNS 服務執行環境中執行；若發生在同台運作的域控制器上，將直接導致網域遭入侵。

注意事項

• 與 Active Directory 共用同一主機的 DNS 伺服器 —— 請在排程前進行清點，而非在排程過程中。
• 可從使用者 VLAN、遠端存取範圍或網際網路存取 Windows DNS。
• 本次發布中的另外三個 DNS CVE；請將它們作為一個整體進行修補。

減緩措施指引

• 與 LDAP 修補程式合併，安排在同一個 DC 維護時段內進行。由於同一台主機上運行著兩個 9.8 版本，因此有充分理由將維護時段提前。
• 當初始入侵點是一台遭釣魚攻擊的筆記型電腦時，「僅限內部」並非一種緩解措施。
• 在累積更新後驗證服務狀態 — 單一週期內進行四項 DNS 修正，其潛在回歸範圍比平常更大。

CVE-2026-119952 — Windows Schannel，遠端程式碼執行

嚴重 · CVSS 8.1 · 遭利用的可能性較高 · AV:N / PR:N / UI:N · 目前尚未遭利用

Schannel 是 Windows 的 TLS 實作——它位於所有終止加密連線的元件之下。雖然其評分低於上述漏洞，但卻是本次發布中極少數被評為「遭利用的可能性較高」的漏洞之一，這顯示微軟正藉此提示您，他們預期下一次武器化攻擊將從何而來。

攻擊者如何利用此漏洞

• 存取任何透過 Schannel 終止 TLS 的服務——例如 IIS、RDP、LDAPS 以及透過 TLS 傳輸的 SMB。
• 在握手過程中執行，且在進入驗證階段之前。

注意事項

• 所有面向網際網路且會終止 TLS 的 Windows 服務。受影響的範圍比任何單一產品名稱所暗示的還要廣。
• System 事件日誌中叢集出現的 Schannel 錯誤或握手失敗。

減緩措施指引

• 應賦予上述微軟評估高於 8.1 的權重。「遭利用的可能性較高」是一項前瞻性判斷；CVSS 則是一種靜態描述。
• 首先是對外連網的 TLS 終端器，然後是內部終端器。
• 沒有任何設定上的變通方法——無法停用 Schannel。更新本身就是控制機制。

第三方發布

實際的漏洞利用發生在哪裡？在這段期間內，經確認遭到利用的 43 個 CVE 中，有 42 個源自微軟以外的來源。其中 9 個屬於邊緣或邊界裝置。

PHP 與帕洛阿爾托

php2shell · EPSS 0.9999 · 已遭利用

CVE-2026-109618 和 CVE-2026-109619 是發生於 PHP 核心本身，於 10 月 21 日被披露。其中一個漏洞會在發生記憶體不足狀況後的請求清理過程中導致記憶體損壞；另一個則是在回收的工作程序上重複使用過期的請求狀態。這些漏洞會影響所有處理網頁請求的 PHP 安裝環境——包括 PHP-FPM、mod_php、php-cgi、FrankenPHP 及 LiteSpeed——其中 mod_php 的風險最高，因為攻擊可在應用程式程式碼執行之前便已發生。 已於 PHP 8.5.12、8.4.27、8.3.36 及 8.2.35 版本中修復。

亞馬遜的 MadPot 蜜罐於 10月17日，即漏洞公開前四天且仍處於保密期內。攻擊者將此漏洞與名為「Fragnesia」的內核權限提升漏洞串聯，藉此在 Palo Alto 防火牆的管理介面上部署 root 級 Web 殼層；Dream Research 發現至少有 25 台設備遭到入侵。Palo Alto 表示：「無需任何特殊設定即可能受到影響。」據 SecurityWeek 報導，攻擊者利用 AI 輔助來建構此攻擊鏈。

伊萬蒂

連結Secure · 鏈結已關閉 · 遭利用

10 月份的簡報曾指出，ConnectSecure 鏈中存在一個尚未修補的環節。該問題現已解決。 CVE-2026-111357（CVSS 8.8，dsinvoked 根維護服務中缺少驗證）與 CVE-2026-118527（4.3，可預測的識別碼導致上傳競態條件）已於 10 月 29 日透過 25.1.1.3 及 22.8R2.6 版本修復。 兩項漏洞均於 10 月 30 日進入 KEV 階段；其中 118527 的截止日期為 11 月 13 日——距離現在僅剩兩天。

Volexity 針對 UTA0576 的詳細分析值得一讀：dsinvoked 階段執行了一段 Python 有效載荷，該載荷暫時修改了記憶體中的函式庫，將一項維護任務重定向為以 root 身分執行，隨後恢復了原始的配置與記憶體狀態。 沒有 Web 殼層，也沒有持久的後門——指令是透過重複的 HTTPS 請求傳輸的。後利用階段竊取了 Windows LAPS 管理員密碼和 BitLocker 還原金鑰。遭入侵的設備當時已安裝所有修補程式。 「僅憑完整的完整性檢查結果，並不能排除系統已遭入侵的可能性。」

Adobe

110 項 CVE · 9 份安全公告 · 「嚴重」

Adobe Connect 成為頭條新聞 — APSB26-191 共包含 24 項 CVE，其中 18 項為「嚴重」級別，最高 CVSS 分數達 10.0，且無需驗證、無需使用者互動即可透過網路進行攻擊。ZDI 稱其為本月規模最大且最嚴重的 Adobe 安全公告。Experience Manager（APSB26-189）則新增 14 項漏洞，其中包含 4 項 CVSS 分數為 9.9 的漏洞，僅需低權限帳戶即可利用。

僅有這兩項屬於第 2 級優先級；其餘七項安全公告則屬第 3 級優先級。本月 Adobe 的安全更新批次中，尚無任何漏洞遭到利用——但 CVE-2026-48356（Commerce 和 Magento 中的無限制檔案上傳漏洞）已於 10 月 27 日被納入 KEV，其 EPSS 評分為 0.475。這是 連續第三個月 Adobe Commerce 漏洞被證實遭利用。

SAP

43 則筆記 · 12 則熱門新聞 · 關鍵

Onapsis 稱此為破紀錄的數量：共計 43 份新增及更新的《安全公告》、12 則《HotNews》，以及 4 項 CVSS 10.0 漏洞，且均為無需認證即可利用的漏洞。 其中兩項是 ICM2SHELL 記憶體損壞漏洞對——CVE-2026-76964（NetWeaver AS ABAP）與 CVE-2026-89126（Web Dispatcher 和 HANA XSA）。 CVE-2026-89103 為 PROXYGATE，是 SAP Gateway 中的存取控制漏洞；而 CVE-2026-120017 則是 NetWeaver SAML2 服務提供者中缺乏驗證的漏洞。

兩個運作上的陷阱。 PROXYGATE 在套用修補程式後需要手動變更設定檔參數 — 僅靠修補程式並無法解決此問題。此外，針對 ICM2SHELL 的 WebSocket 停用解決方案，SAP 已明確表示不建議採用。研究人員已向 SAP 提交可運作的攻擊程式碼；目前尚未有實際環境中的攻擊案例報告。

邊緣設備

Citrix · SonicWall · Barracuda · 已遭利用

Barracuda 最新動態：CVE-2026-116606（繞過身份驗證）與 CVE-2026-111560（作業系統指令注入）已確認存在明確的鏈接關係；Barracuda 證實「少數組織」遭到攻擊；watchTowr 已發布利用程式碼；兩項漏洞的修補期限均為 11 月 13 日。

SonicWall CVE-2026-19868 (7.1) 允許擁有有效非 SAML 憑證的用戶繞過 SSL-VPN 上由 SAML 強制實施的多因素驗證 (MFA)。目前無暫時解決方案；修補版本為 7.3.4-7013 及 8.2.3-8015，預計於 11 月 20 日發布。 Citrix 於 10 月 8 日發布了 CVE-2026-107406（CVSS 9.5，配置了 SAML 的 NetScaler），並在 14.1-73.49 / 13.1-64.32 版本中發布了獨立的 php2shell 彙總更新，該更新同時包含 9 月和 10 月的修補程式。

Mozilla Firefox瀏覽器

160 · 99 項 CVE · 無遭利用紀錄

Firefox 160（MFSA 2026-125）於「修補星期二」發布，共包含 99 項 CVE — 其中 57 項為「高」風險、24 項為「中」風險、18 項為「低」風險，且無「關鍵」風險。 ESR 115.45 和 153.7 亦同步發布，此外還有 Thunderbird 160 和 153.7。單次瀏覽器發布中出現 99 項漏洞，遠高於 Mozilla 過往的平均水準，且與微軟的漏洞數量模式相符，儘管 Mozilla 並未公開將此歸因於 AI 輔助的漏洞發現。

Apple

一項 2024 年的 CVE，現已遭惡意利用 · 已遭利用

蘋果於 11 月 9 日針對 iOS/iPadOS 27.2.1、26.7.3 及 18.7.12，以及三個 macOS 分支發布了更新。同時存在三個 iOS 分支本身就是一個訊號——SANS 的李·尼利（Lee Neely）表示：「當蘋果針對超過兩個版本發布修補程式時，我會特別留意。」

較有意思的漏洞其實是較早出現的。CVE-2024-27834——這是 Apple 於 2024 年 5 月修補的 CVSS 5.5 分數「指針驗證繞過」漏洞——於 11 月 4 日被納入 KEV。Sekoia 將此漏洞的利用歸因於 APT29 / Midnight Blizzard所為，攻擊者透過遭入侵的合法網站，以及 Plerdy SEO 追蹤器的供應鏈漏洞，以零點擊攻擊鏈的形式發動攻擊，最終觸發竊取 Cookie 的資訊竊取程式。這是一個存在兩年半之久的中等嚴重性漏洞，如今已被國家級攻擊者武器化。

若您有寄送貨物，這意味著什麼Software

本月最顯著的特徵並非事件數量，而是兩起最具影響力的事件——微軟唯一遭利用的漏洞被發現，以及帕洛阿爾托防火牆遭入侵——均在三週內發生，且雙方皆涉及人工智慧輔助，只是所處立場截然相反。一名研究人員利用人工智慧發現了一個已遭利用的漏洞；一名攻擊者則利用人工智慧建立了一條攻擊鏈，成功在生產環境設備中植入後門。

而實際導致系統遭入侵的元兇其實是 PHP：它只是一個依賴項，而非產品本身。在 CVE 公開之前，就清楚掌握產品內部及端點上的內容，這才是關鍵所在。這正是 OESIS 偵測與修補儀表板所映射的鏈條：哪些應用程式已安裝、它們存在哪些 CVE，以及是否已有修補程式。

優先級矩陣

共分四個等級，最嚴重的排在最前。等級劃分依據的是漏洞的暴露程度與被利用情況，而非 CVSS 分數——這正是為何分數 6.5 的漏洞位居首位，而分數 10.0 的卻排在末位。本評級範圍限於大多數組織實際運行的軟體；完整資料集涵蓋了所有 43 個曾遭利用的 CVE，以及本週期內的每家廠商。

P1 — 現在 24小時內 43 個漏洞中有 19 個遭利用

已確認在實際環境中遭利用——屬觀察所得，而非預測。依最新順序排列：最上方的幾行是上個週期未涵蓋的內容。

Microsoft 和 Chrome 的相關項目未顯示 EPSS 分數，因為在擷取此快照時，該模型尚未對其進行評分。其餘 24 個遭利用的 CVE 分別位於媒體伺服器、備份設備、開發工具以及 10 月 8 日的舊版批次中；這 43 項皆可在OPSWAT 的 CVE 儀表板中進行搜尋。

P2 — 本週 72 小時內 32 項中的第 12 項

Windows，未經身份驗證，可透過網路存取，無需使用者互動。這些因素會改變您的風險暴露程度，且無需點擊任何內容。Server 角色優先 — 請注意，DNS 和 LDAP 都會連接到網域控制器。

本月沒有 EPSS 專欄。 在本次快照時點，該模型僅對 1,095 項微軟 CVE 中的 1 項進行了評分——相較於 10 月幾乎同一時間點的運行結果，當時的覆蓋率近乎完全。EPSS 評分有其自身的發布時程，而一欄全為連線的狀態代表風險較低，而非無數據。無論如何，對於已確認遭利用的漏洞，這從來就不是正確的排名指標。

P3 — 本週期 7 天內 8 項 CVE

這些方法既關鍵又可實現，但每種方法都需要一個先決條件——憑證、經認證的連線，或是已傳送的檔案。無論其評分如何，「概念驗證」這一行都應歸類於「漏洞利用成熟度」欄位之下。

P4 — 無需採取行動 僅供知悉 4 項 CVE

服務端。微軟已在自家系統中修復了這些問題；客戶無需進行任何部署。他們每月都會發布一份未經處理的 CVSS 排序清單——這正是為何將其列於此處，而非任其造成混淆。

72小時計畫

優先級矩陣沒有告訴你的事。

接下來日程表上還有什麼安排

來源

首先是主要供應商的公告。

1. 微軟資安應變中心，CVRF 文件 2026-Nov，修訂版 2026-11-11 — 標準 CVE 清單、微軟指派的 CVSS 分數及時間向量。
2. CISA「已知遭利用的漏洞」目錄與 FIRST EPSS。
3. Zero Day Initiative，《2026 年 11 月安全性更新檢討》。
4. Tenable、2026 年 11 月「修補星期二」解決了 1,093 項 CVE；Krebs on Security；Rapid7。
5. PHP Group 針對 CVE-2026-109618 和 CVE-2026-109619 發布的安全通報；NCSC-NL 的 php2shell 產品追蹤器；SecurityWeek 關於 Palo Alto 遭入侵事件的報導。
6. Volexity 針對 UTA0576 及 Ivanti Connect 的說明Secure ；Ivanti 針對 CVE-2026-111357 及 CVE-2026-118527 發布的安全公告。
7. Onapsis，SAP 安全性修補程式發布日，2026 年 11 月。
8. Adobe 安全公告（APSB26-191、-189 及其他）。
9. Mozilla，MFSA 2026-125（Firefox 160）。
10. Citrix CTX697191；SonicWall SNWLID-2026-0014；Barracuda 安全公告；《The Hacker News》關於 CVE-2024-27834 及 APT29 的報導。
11. VulnCheck 針對 AI 偵測到的漏洞及其利用率。

方法論。 標題所列數量為微軟在 CVRF 中歸類為具有「影響」評級的 CVE，其中不包含 267 項重新發布的第三方 CVE。 微軟的 CVSS 及漏洞利用成熟度數值均由廠商依據 CVRF 賦予；若 CISA 未發布第三方 CVSS 數值，則取自 NVD 或相關廠商。EPSS 為預測模型，僅供報告之用，絕不應用於對已確認遭利用的漏洞進行排序——本月在資料擷取時點，該模型僅對 1,095 項微軟 CVE 中的 1 項進行過評分，因此未出現在微軟的表格中。 優先級矩陣的範圍限於主流企業軟體；其基礎資料集涵蓋了 10 月 8 日至 11 月 10 日期間所有 43 項經確認遭利用的 CVE，以及本週期內的每家廠商。利用狀態反映 CISA KEV 及第一方廠商的確認結果，而非第三方聲稱。

資料截至 2026 年 11 月 11 日。 CISA KEV 和 EPSS 會持續更新，而微軟會在發布後修訂 CVRF —— 此處的數據反映了 11 月 11 日的修訂版本，以及當日上午的清單狀態。緩解措施指引屬一般性建議，係根據各漏洞已公布的特徵所推導而出；此指引不能取代針對您自身環境進行的測試。