Microsoft slapp 13. oktober 2026 den største samlingen sikkerhetsoppdateringer i selskapets historie. 1.413 sårbarheter ble tettet på én gang, og én av dem var allerede under aktivt angrep da oppdateringen kom. CVE-2026-96951 lar angripere omgå Windows’ innebygde varslingssystem for filer hentet fra internett, og den amerikanske sikkerhetsmyndigheten CISA ga føderale etater bare tre dager til å lappe systemene sine. For IT-avdelinger i Norge og resten av Norden markerer denne oktoberutgaven et nytt toppunkt i en trend som har bygget seg opp gjennom hele 2026: Patch Tuesday blir større, hyppigere kritisk, og vanskeligere å prioritere riktig.
Denne analysen går gjennom tallene, mekanismen bak zero-day-sårbarheten, hvordan den skiller seg fra tidligere Microsoft-hendelser, og hva den betyr for virksomheter som allerede sliter med å holde patch-tempoet oppe.
Rekordtallet: 1.413 sårbarheter på én dag
Ifølge SecurityWeek rettet Microsofts oktoberutgave av Patch Tuesday opp i 1.413 separate CVE-er. Det er det høyeste tallet selskapet noensinne har publisert i en enkelt utgivelse. Sikkerhetsanalytikere hos Rapid7, sitert av itbrief.asia, bryter ned tallet slik: 1.102 feil i Windows selv, 134 i Office, 61 i utviklerverktøy og 36 i SharePoint Server. Spredningen viser at problemet ikke er isolert til ett produkt. Det strekker seg gjennom nesten hele Microsofts programvareportefølje, fra klientoperativsystemet folk bruker daglig til serverprogramvaren som holder bedriftsnettverk i gang.
Sikkerhetsanalysefirmaet Brinqa beskriver utgivelsen som den første firesifrede sårbarhetstellingen i Microsofts historie, og den fjerde rekordmåneden på fem måneder, ifølge Brinqa. Det betyr at oktober ikke var et enkeltstående utslag, men toppen av en kurve som har pekt oppover store deler av året. I september 2026 lå det forrige rekordtallet på 974 sårbarheter, fortsatt ifølge Brinqas analyse. Når man legger de to månedene sammen, har Microsoft publisert godt over 2.300 CVE-er på bare åtte uker.
Tallene varierer litt mellom kildene. Noen analytikere lander på 1.407, andre på 1.411 eller 1.414, avhengig av om de teller skytjenester og enkelte utviklerverktøy med eller ikke. Det endrer ikke bildet: dette er uansett metode den største Patch Tuesday-utgivelsen som er registrert.
Historisk utvikling: Patch Tuesday har vokst seg stor
For å forstå hvor uvanlig oktober var, hjelper det å se tallene i rekkefølge. Tabellen under samler de bekreftede tallene fra sikkerhetsanalysene som er publisert etter utgivelsen.
| Periode | Antall sårbarheter | Status | Kilde |
|---|---|---|---|
| September 2026 | 974 | Forrige månedsrekord | Brinqa |
| Oktober 2026 | 1.413 (1.407–1.414 avhengig av telling) | Ny rekord, første firesifrede utgivelse | SecurityWeek / Brinqa |
| Hele 2025 (helår) | Lavere enn oktober 2026 alene | Historisk sammenligning | CSOonline-rapportering |
| Kritiske feil, oktober 2026 | 75 | Del av totaltallet over | CrowdStrike |
| Kritiske/viktige/total, oktober 2026 | 78 / 1.329 / 1.414 | Alternativ telling, samme utgivelse | Expel |
Spriket mellom 75 og 78 kritiske feil, og mellom 1.411 og 1.414 totalt, skyldes at ulike analysefirmaer bruker forskjellige avgrensninger for hva som telles som en egen CVE. Noen inkluderer alle rammede produktversjoner separat, andre slår dem sammen. Det viktige poenget for en IT-avdeling er ikke det siste sifferet, men at alle seriøse analyser er samstemte om at dette er et historisk høyt tall, og at ett av problemene allerede var under angrep.
CVE-2026-96951: Zero-dagen som allerede var i bruk
Den mest alvorlige enkeltsaken i utgivelsen er CVE-2026-96951, en sårbarhet i Windows Shell med en CVSS-score på 8,8. Microsoft kategoriserer den som “Important” og ikke “Critical”, noe flere sikkerhetsjournalister har pekt på som overraskende gitt at den allerede var under aktivt angrep da oppdateringen ble sluppet. CSOonline beskriver den som en av tre zero-dager i utgivelsen, og den eneste av de tre som bekreftet var utnyttet i det fri før patchen kom.
Sårbarheten lar en angriper omgå Mark of the Web, en beskyttelsesmekanisme som har eksistert i Windows i over et tiår. Den amerikanske sårbarhetsdatabasen CISA la CVE-2026-96951 inn i sin Known Exploited Vulnerabilities-katalog samme dag utgivelsen kom, og satte en frist til 16. oktober 2026 for føderale etater. Det ga bare tre dager fra patch til pålagt utrulling, et av de korteste vinduene CISA har gitt i 2026.
Hvordan Mark of the Web normalt beskytter deg
Mark of the Web er metadata Windows legger på filer som kommer fra internett eller andre utrygge kilder, blant annet nedlastinger, e-postvedlegg og filer pakket ut fra arkiver. Merkingen trigger flere lag med beskyttelse: SmartScreen varsler brukeren før en nedlastet fil kjøres, Office åpner dokumenter i Protected View slik at makroer er deaktivert som standard, og enkelte skript blokkeres helt fra å kjøre automatisk. Når denne merkingen svikter, forsvinner også varslene og sperrene som normalt gir brukeren en sjanse til å stoppe opp og tenke seg om.
Angrepskjeden steg for steg
- Offeret mottar en spesialbygget fil, lenke eller arkiv via e-post, meldingstjeneste eller en kompromittert nettside.
- Filen er konstruert for å utløse feilen i Windows Shell slik at systemet ikke klarer å registrere den som “hentet fra internett”.
- Windows viser ikke den vanlige SmartScreen-advarselen eller setter ikke Office-dokumentet i beskyttet visning.
- Offeret åpner filen uten å se noe rødt flagg, og en skadelig nyttelast, et skript eller en informasjonsstjeler kan kjøre med redusert friksjon.
- Angriperen får et fotfeste som kan brukes til videre spredning, datautlevering eller utplassering av løsepengevirus.
Microsoft beskriver angrepet som enkelt å utføre teknisk sett: ingen autentisering og ingen forhåndsprivilegier er nødvendig for angriperen. Det eneste kravet er at offeret åpner filen eller besøker lenken. Det gjør denne typen sårbarhet spesielt attraktiv i phishingkampanjer, fordi den fjerner nettopp det varselet mange brukere og sikkerhetsløsninger er trent til å stole på.
De to andre zero-dagene i samme utgivelse
Utover CVE-2026-96951 inneholdt oktoberutgivelsen to ytterligere zero-dager som var offentlig kjent ved utgivelsen, men uten bekreftet aktiv utnyttelse: CVE-2026-102866 i SharePoint og CVE-2026-108398 i .NET Framework. Begge anbefales patchet umiddelbart etter Windows Shell-feilen, ifølge analysen fra Brinqa, men det offentlige datagrunnlaget gir ikke en bekreftet CVSS-score eller utnyttelsesstatus for disse to per nå.
| CVE | Produkt | CVSS | Utnyttelsesstatus |
|---|---|---|---|
| CVE-2026-96951 | Windows Shell | 8,8 | Bekreftet aktivt utnyttet, lagt i CISA KEV |
| CVE-2026-102866 | SharePoint Server | Ikke bekreftet i kildene | Offentlig kjent, ingen bekreftet utnyttelse |
| CVE-2026-108398 | .NET Framework | Ikke bekreftet i kildene | Offentlig kjent, ingen bekreftet utnyttelse |
SharePoint er i mange virksomheter koblet direkte mot internett for å støtte samarbeid med eksterne parter, og lagrer ofte sensitive dokumenter. Det gjør CVE-2026-102866 til et naturlig neste prioriteringsobjekt selv uten bekreftet utnyttelse. .NET Framework-feilen rammer bredere, siden rammeverket ligger under et stort antall forretningskritiske applikasjoner, ikke bare Microsofts egne produkter.
Hvordan dette skiller seg fra andre oktober-sårbarheter
Microsoft var ikke alene om å sende ut kritiske sikkerhetsoppdateringer i oktober 2026. Palo Alto Networks patchet en høyseverity RCE-zero-day i PAN-OS, tracket som CVE-2026-0322, som allerede var utnyttet mot brannmurer i aktive angrep, ifølge BleepingComputer. Cisco lappet samtidig en utnyttet zero-day i Secure Email Gateway som ga uautentiserte angripere fjerntilgang. Begge sakene underbygger et mønster: oktober 2026 var en måned der flere store leverandører samtidig måtte håndtere aktivt utnyttede sårbarheter, ikke bare teoretiske funn fra forskere.
Et annet eksempel kom fra Ivanti. CyberScoop meldte at sikkerhetsfirmaet Volexity avdekket at angripere kjedet sammen tre separate zero-dager i Ivanti Connect Secure for å omgå autentisering, kjøre kode eksternt og eskalere rettigheter, uten at Ivanti fikk rettet sårbarheten før den allerede var aktivt utnyttet. Det er en annen Ivanti-sak enn den tidligere EPMM-hendelsen, men den viser at leverandørkjeden av avanserte angrep mot bedriftsprogramvare ikke avtar.
Konkurransebildet: Patch-tempo som konkurransefaktor
Microsofts faste månedlige utgivelsesplan, Patch Tuesday, er fortsatt bransjestandarden for store, forutsigbare oppdateringssykluser. Modellen gir IT-avdelinger et fast vindu å planlegge rundt, men den har en bakside: når antallet feil i en enkelt utgivelse vokser til over 1.400, blir det nesten umulig å teste og rulle ut alt samtidig uten å ty til risikobasert prioritering.
Andre store programvareleverandører velger andre modeller. Nettlesere som Chrome og Firefox oppdateres langt oftere, ofte med noen dager eller uker mellom hver utgivelse, noe som sprer rettingene ut i mindre porsjoner i stedet for én enorm månedlig bølge. Det reduserer ikke det totale antallet sårbarheter som oppdages over tid, men det gjør hver enkelt oppdatering mindre krevende å håndtere for driftsteam. For virksomheter som bruker begge modellene parallelt, betyr det i praksis at de må ha to helt forskjellige rutiner: en fast månedlig prosess for Microsoft-produkter, og en mer kontinuerlig overvåkingsprosess for programvare som oppdateres løpende.
Det finnes ikke et offentlig bekreftet tall for hvor mange sårbarheter andre store leverandører som Adobe, SAP, Fortinet eller Cisco rettet i sine egne oktoberutgivelser i 2026, så en direkte sammenligning i antall ville vært spekulativ. Det som er klart fra tilgjengelig rapportering, er at Microsofts oktobertall overgår selskapets eget samlede tall for hele 2025, ifølge flere analyser som siterer historiske Microsoft-data.
Hva bransjen sier om prioritering
CrowdStrikes egen gjennomgang av utgivelsen, publisert på selskapets blogg, beskriver funnet som en kombinasjon av én aktivt utnyttet zero-day og to offentlig kjente zero-dager, sammen med et høyt antall kritiske feil. CrowdStrike anbefaler at virksomheter patcher Windows Shell-feilen umiddelbart, med spesiell vekt på sluttbrukermaskiner og systemer som mottar e-post og eksterne nedlastinger, siden angrepsveien i hovedsak går gjennom brukerinteraksjon snarere enn direkte nettverksangrep mot servere.
Den praktiske konsensusen fra tilgjengelig sikkerhetsanalyse kan oppsummeres i fem punkter: patch Windows Shell-feilen akutt på alle klienter, prioriter SharePoint-miljøer som er eksponert mot internett eller eksterne samarbeidspartnere, følg opp .NET Framework-feilen på forretningskritiske applikasjonsservere, gå videre til resterende kritiske feil med vekt på identitetsinfrastruktur og fjernaksess, og innfør kompenserende kontroller som strengere filtrering av arkiver og skript i påvente av full utrulling.
Markedseffekt: Hva en rekordmåned betyr for sikkerhetsbransjen
En Patch Tuesday på denne størrelsen har reelle økonomiske konsekvenser utover selve IT-avdelingenes arbeidsmengde. Sikkerhetsleverandører som tilbyr automatisert sårbarhetshåndtering og patch-orkestrering, som Rapid7, Tenable og Qualys, får økt relevans i en tid der manuell prioritering av over tusen CVE-er i løpet av én utgivelse rett og slett ikke er praktisk mulig for de fleste organisasjoner. Etterspørselen etter risikobaserte prioriteringsverktøy, som rangerer sårbarheter etter faktisk utnyttelsesstatus i stedet for bare CVSS-score, har økt gjennom 2026 i takt med at antallet publiserte CVE-er har vokst.
For forsikringsbransjen og virksomheter som tegner cyberforsikring, bidrar hver slik rekordmåned til et stadig mer krevende risikobilde. Flere sårbarheter betyr flere mulige angrepsveier, og en kortere avstand mellom offentliggjøring og utnyttelse legger press på forsikringsselskaper som må prise inn sannsynligheten for hendelser knyttet til forsinket patching. Det er fortsatt for tidlig å si hvordan oktober 2026 konkret vil påvirke premier, men trenden med stadig større og mer tidskritiske utgivelser peker i en retning der “vi patcher neste måned” ikke lenger er et akseptabelt svar for virksomheter med lav risikotoleranse.
Konsekvenser for norske og nordiske virksomheter
Det finnes ingen offentlig bekreftet uttalelse fra Nasjonal sikkerhetsmyndighet, NorCERT eller et samlet nordisk CERT-organ spesifikt om denne oktoberutgivelsen per nå. Det betyr likevel ikke at norske virksomheter kan vente. Windows-klienter som brukes til e-post, dokumentbehandling og nettlesing er nøyaktig den type sluttpunkt som angrepsveien for CVE-2026-96951 er bygget for å treffe, og de finnes i praksis i enhver norsk bedrift, kommune og statlig virksomhet.
Praktiske konsekvenser for en norsk IT- eller sikkerhetsavdeling bør være å behandle denne utgivelsen som en hendelse med kort tidsfrist, ikke en ordinær månedlig oppdateringsrunde. Det innebærer å prioritere utrulling til sluttbrukermaskiner før servere, dokumentere beslutningen om rekkefølge i virksomhetens sårbarhetsstyringsprosess, og vurdere om noen av systemene som er rammet håndterer personopplysninger eller samfunnskritiske funksjoner som utløser varslingsplikt etter personvernregelverket dersom noe går galt. Virksomheter som bruker tredjeparts driftsleverandører bør også be om bekreftelse på at Microsoft-oppdateringene er rullet ut i de miljøene som driftes av andre, siden ansvar for patching lett blir uklart i slike avtaler.
Verktøy for å sjekke egen eksponering
IT-avdelinger kan raskt få oversikt over hvilke oppdateringer som allerede er installert på en maskin ved å kjøre et enkelt PowerShell-kommando lokalt eller via fjernstyringsverktøy mot flere enheter samtidig.
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10 HotFixID, Description, InstalledOnKommandoen lister de ti sist installerte oppdateringene på maskinen, sortert etter installasjonsdato, slik at en administrator raskt kan se om oktoberutgivelsen faktisk har blitt installert. For større miljøer er dette normalt automatisert gjennom løsninger som Windows Server Update Services, Microsoft Intune eller tredjeparts patch-plattformer, men et manuelt stikkontroll-kommando som dette er nyttig når man trenger å verifisere status på enkeltmaskiner raskt, for eksempel under en hendelsesrespons.
Hvorfor Microsoft klassifiserer feilen som “Important” og ikke “Critical”
Et av de mer diskuterte punktene etter utgivelsen er at Microsoft selv setter alvorlighetsgraden til “Important” for CVE-2026-96951, samtidig som den var bekreftet aktivt utnyttet og havnet på CISAs KEV-liste. Mark of the Web-omgåelser gir vanligvis ikke angriperen direkte og automatisk kjøring av skadelig kode. De fjerner i stedet en beskyttelsesmekanisme som normalt krever at brukeren selv godkjenner et steg i angrepskjeden. Microsofts interne klassifiseringsmodell vekter typisk sårbarheter som gir direkte fjernkjøring av kode uten brukerinteraksjon høyere enn sårbarheter som “bare” fjerner et varsel brukeren ellers måtte klikket forbi.
Denne logikken er teknisk konsistent, men den skaper et praktisk problem for virksomheter som bruker CVSS- eller Microsofts egne alvorlighetsmerker som eneste prioriteringsgrunnlag. En sårbarhet som er bevist utnyttet i reelle angrep bør i praksis alltid rangeres over en teoretisk kritisk sårbarhet uten kjent utnyttelse, uansett hvilken etikett leverandøren setter på den. Dette er nettopp grunnen til at CISAs KEV-liste, som er basert på bekreftet utnyttelse og ikke bare CVSS-score, har blitt et viktigere referansepunkt for mange sikkerhetsteam enn produsentens egen alvorlighetsgradering.
Fem prediksjoner for de neste månedene
- Antallet CVE-er per Patch Tuesday vil fortsette å ligge høyt resten av 2026, drevet av at flere forskningsmiljøer og automatiserte fuzzing-verktøy finner flere feil raskere enn før, en trend som har bygget seg opp gjennom hele året.
- CISA og tilsvarende europeiske myndigheter vil sette enda kortere frister for KEV-listede sårbarheter når exploits er offentlig tilgjengelige før patch, slik tilfellet var med deler av oktoberbølgen.
- Flere virksomheter vil gå bort fra å bruke CVSS-score som eneste prioriteringskriterium, og i stedet vektlegge bekreftet utnyttelsesstatus fra KEV-lister og trusseletterretning tyngre enn leverandørens egen alvorlighetsmerking.
- Risikobaserte sårbarhetshåndteringsplattformer vil fortsette å vinne markedsandeler fra manuelle patch-prosesser, ettersom antallet CVE-er per måned gjør fullstendig manuell gjennomgang upraktisk for de fleste IT-avdelinger.
- SharePoint- og .NET-relaterte sårbarheter vil sannsynligvis få økt oppmerksomhet fra angripere i tiden som kommer, siden begge rammer infrastruktur som ofte er eksponert mot internett eller underliggende for mange forretningsapplikasjoner samtidig.
Lærdom fra tidligere store Microsoft-oppdateringer
Oktober 2026 er ikke første gang Microsoft har satt rekord i løpet av året. Ifølge Brinqas analyse var dette den fjerde rekordmåneden på fem måneder, noe som betyr at juni, juli eller august også satte historisk høye tall før de ble forbigått igjen. Mønsteret antyder at det ikke er snakk om en enkeltstående anomali, men en strukturell endring i hvor mange sårbarheter som blir funnet og rapportert i Microsofts programvare per år. Det kan skyldes flere faktorer samtidig: mer avansert automatisert sårbarhetssøk fra forskningsmiljøer, flere bug bounty-programmer som betaler godt for funn, og en stadig voksende kodebase etter hvert som Microsoft legger til nye tjenester i skyen, i Windows og i Office-familien.
For en IT-leder er den praktiske lærdommen at det ikke lenger er realistisk å planlegge patch-ressurser basert på et “normalt” historisk gjennomsnitt. Kapasiteten som ble bygget for å håndtere noen hundre CVE-er i måneden holder ikke når tallet kan doble seg fra én måned til den neste.
Ofte stilte spørsmål
Hva er CVE-2026-96951?
Det er en sårbarhet i Windows Shell med CVSS-score 8,8 som lar angripere omgå Mark of the Web-beskyttelsen. Den var allerede under aktivt angrep da Microsoft patchet den 13. oktober 2026, og er lagt inn i CISAs liste over kjent utnyttede sårbarheter.
Hvorfor er Mark of the Web viktig?
Mark of the Web er metadata Windows setter på filer hentet fra internett. Den utløser varsler som SmartScreen og Office Protected View. Når beskyttelsen omgås, forsvinner disse varslene, og skadelige filer kan åpnes uten de vanlige sikkerhetssperrene.
Hvor mange sårbarheter patchet Microsoft i oktober 2026?
Rapportene varierer mellom 1.407 og 1.414 avhengig av tellemetode, men de fleste store sikkerhetsanalyser, inkludert SecurityWeek og Brinqa, lander på 1.413 som hovedtall. Det er den første firesifrede sårbarhetstellingen i Microsofts historie.
Var det flere zero-dager i samme utgivelse?
Ja. Utover CVE-2026-96951 inneholdt utgivelsen to offentlig kjente zero-dager uten bekreftet aktiv utnyttelse: CVE-2026-102866 i SharePoint og CVE-2026-108398 i .NET Framework.
Hva betyr det at en sårbarhet står på CISAs KEV-liste?
KEV-listen (Known Exploited Vulnerabilities) samler sårbarheter CISA har bekreftet er aktivt utnyttet i reelle angrep. Amerikanske føderale etater er pålagt å patche disse innen en satt frist, i dette tilfellet 16. oktober 2026, bare tre dager etter at oppdateringen ble sluppet.
Bør norske virksomheter bry seg om en amerikansk CISA-frist?
KEV-fristen er formelt bindende kun for amerikanske føderale etater, men listen fungerer i praksis som en global indikator på hvilke sårbarheter som er bekreftet utnyttet akkurat nå. Norske virksomheter bør bruke den samme logikken og prioritere disse sårbarhetene høyt, uavhengig av Microsofts egen alvorlighetsmerking.
Hvordan sjekker jeg om min organisasjon er rammet?
Start med å kontrollere om oktoberoppdateringene er installert på Windows-klienter, spesielt maskiner som brukes til e-post og nettlesing. Verktøy som Windows Server Update Services, Microsoft Intune eller tredjeparts patch-plattformer gir samlet oversikt, mens enkeltmaskiner raskt kan sjekkes med en PowerShell-kommando som viser nylig installerte oppdateringer.
Er dette den største Patch Tuesday-utgivelsen noensinne?
Ja, ifølge tilgjengelig sikkerhetsanalyse er oktober 2026 den største enkeltutgivelsen Microsoft har publisert, og den overgår selskapets samlede sårbarhetstall for hele 2025, ifølge flere analyser som siterer historiske data.