微软技术日报 2026-10-26：.NET 重发十月补丁，Teams 把深伪判断交给第三方-北京尧图网络

每天早上 8 点看一遍微软技术圈过去 24 小时发生了什么。今日速览10 月 25 日.NET 8、9、10 收到带外安全更新版本是 8.0.33、9.0.22、10.0.14.NET 11 顺带发出 RC3。除了 Brotli 解压缺陷官方还重发了两条 10 月 13 日没修干净的公告。Edge 有了原生的全球隐私控制开关位置在设置里的隐私页目前只对美国地区开放。网站收到信号后可以不理。Windows 11 26H2 对全部符合条件的 24H2 与 25H2 设备放开靠一个 173 KB 的启用包完成升级。24H2 家用版与专业版已在 10 月 13 日之后停更。Teams 把会议深伪检测交给第三方微软提供 Graph 接口与告警弹窗11 月中旬起在桌面版、Mac 版与网页版陆续推送。一、十月补丁重发两条旧公告没修干净10 月 25 日.NET 团队发出带外安全更新覆盖 .NET 8、9、10同时把 .NET 11 的 Release Candidate 3 一起放出来。作者 Rahul Bhandari文章的措辞很直接建议尽快更新。四个版本对应的补丁是 8.0.33、9.0.22、10.0.14 和 RC3装过 RC2 的要升到 RC3 才能拿到修复。这批更新的主因是 CVE-2026-111497。问题在 .NET 对 Brotli 解压算法的使用上属于缓冲区溢出未认证的攻击者可以读取或破坏进程内存后果可能是信息泄露、拒绝服务也可能被用来提权影响面是全平台。触发路径只有三条ASP.NET Core 的请求解压中间件、HttpClient 的自动响应解压以及 System.IO.Compression 里的 Brotli 接口。前两项默认不开这一点决定了受影响的不是所有 .NET 应用而是那些显式处理 Brotli 压缩数据的服务。.NET Framework 用的是另一套实现不在影响范围内。第二条是 CVE-2026-114148Linux 上的 .NET tarball 带了不安全的属主元数据本地攻击者可以借机改动文件、拿到更高权限。这一条的分层要看清。对 .NET 10 与 .NET 11只有从源码构建用的 tarball 受影响对 .NET 8 与 .NET 9通过 ASP.NET Core tarball 安装的发行版也在范围内即便团队从不自己编译运行时也得换掉安装包。还有两条是重发。CVE-2026-70197 是 SocketAsyncEventArgs 的内存破坏影响 8、9、10、11 四个版本CVE-2026-102870 官方博客写作 Blazor WebAssembly 调试器上的问题MITRE 的记录标题则是 ASP.NET Core 远程代码执行产品栏列出 Blazor WebAssembly 的开发服务器包与服务器端包另外挂上了 .NET 10、.NET 11 运行时与几个 Visual Studio 版本包括 2019 的 16.11.61、2022 的 17.14.43以及 2026 的 18.10.4、18.11.2、18.12 Insiders 第三版之后CVSS 8.8。两条重发的原因写在同一句话里10 月 13 日那次发布没有完全解决这些问题今天的更新补上。更新的动作按部署形态分开写这里最容易被漏掉的是后三类。框架依赖的应用装上对应版本的运行时并重启进程即可。自包含应用要把新运行时打进去重新发布在宿主机上装新运行时不会改动产物里自带的那一份。容器要换官方基础镜像重建镜像再重新部署。从源码构建的消费者取新的构建产物重做发行包。用 ASP.NET Core tarball 安装 .NET 8 或 9 的环境换成刷新后的 tarball。自查用dotnet --list-runtimes看的是那台机器实际装着什么而不是文档里写了什么。放到时间线上看这次带外的分量更清楚。11 月 10 日是 .NET 8 与 .NET 9 的最后一个补丁窗口也是 .NET 11 的正式版发布日期。两条线撞在同一天意味着这次带外更新发完之后8 与 9 只剩一次机会。同一周里 Brotli 这条缺陷波及的也不止 .NETNode.js 与 Envoy 先后发了版本一批嵌了相同解压实现的 HTTP 服务都在换包。二、Edge 把 GPC 做进设置页只对美国开放10 月 25 日Neowin 在微软的支持文档里发现了新条目Edge 已经把全球隐私控制做成了浏览器内置开关。开关位置在设置里的隐私、搜索和服务再往下是隐私最后一项就是全球隐私控制。打开之后Edge 会向访问的每个站点发送 GPC 信号表达用户不希望自己的个人数据被出售或用于定向广告。GPC 本身不是微软的产品。W3C 在 2020 年 10 月发布这份规范落地形式是请求头Sec-GPC: 1与页面里的navigator.globalPrivacyControl属性站点读到就知道该用户已声明退出。Firefox 与 Brave 早就内置并默认开启Chrome 与 Edge 的用户过去只能装扩展来实现。Chrome 这边的进度是代码在 7 月合进了 Chromium 主分支Canary 里能开实验开关正式版还没有这个选项。微软在自己的说明里写了两条限制。信号是请求不是强制站点可以选择遵守也可以无视开启之后不代表所有跟踪都会停止也不保证个人信息一定不被共享。另一条是地域当前只有美国地区的设置里有这一项其他地区要等后续。放到合规流程里看这个改动的意义在于去掉一层依赖。此前要给站点发 GPC 头一般靠扩展、靠代理注入或者靠企业策略在出口处加。内置之后用户侧的动作就是点一个开关浏览器自己负责发。代价是范围非美国地区的用户现在还看不到这个入口跨境团队做隐私声明时不能把它当作已全覆盖的能力。三、26H2 全量放开升级包只有 173 KB10 月 25 日Neowin 报道微软已经确认 26H2 的推送进入全量阶段凡是在跑 24H2 或 25H2 且符合硬件条件的设备现在都能拿到这个版本。Windows Release Health 页面在 10 月 21 日就把状态标成了完全可用媒体报道晚几天给出的判断是符合条件就不该再等。这个版本走的是启用包路线包号 eKB5121794体积 173 KBARM64 版 175 KB。前提是设备已经装上 9 月 22 日那次更新或更新的补丁装过 10 月累积更新的机器直接满足。装完重启一次就完成切换不需要重装系统也不需要额外的介质。版本号这条线可以对着看26H2 在 9 月 29 日开始推送首个带新版本号的构建是 26300.94579 月 22 日的 KB5124010 把它推到 26300.955010 月 13 日的 KB5127648 再到 26300.9711。为什么现在要处理这件事理由在 24H2 身上。10 月 13 日那次累积更新是 24H2 家用版与专业版的最后一次月度更新此后不再收安全修复也不再提供支持企业版与教育版不在其中它们能用到 2027 年 10 月 12 日。往上走一级26H2 的家用与专业版支持到 2028 年 10 月 10 日企业版与教育版到 2029 年 10 月 9 日比 25H2 多出一年。还在 24H2 家用或专业版上的机器把版本推到 26H2 是唯一继续收补丁的路径。有一个例外要先排掉。26H1 用的是另一套内核构建号 28000 系列2026 年 2 月随骁龙 X2 这类新 Arm 笔记本出厂预装它不能升到 26H2走自己的月度更新10 月对应的是 KB5127646版本 28000.3231。设备清单里混着 26H1 与 24H2 时别用同一条升级任务覆盖过去。推送放开不等于每台机器马上就能看到。微软保留了兼容性保护暂停遇到已知的驱动或应用冲突会按住不放所以设置里显示已是最新、却迟迟没有 26H2 的情况属于正常。想更早拿到把设置里“尽快获取最新更新”打开再去检查更新。企业侧照旧用更新环与策略推先拿一批有代表性的机型试包括那些带特殊 VPN、旧打印机、音频接口与端点安全工具的机器比追版本号更实际。四、Teams 的深伪检测由第三方做微软只做通道10 月 25 日Windows Latest 报道 Teams 将允许组织接入经认证的第三方工具扫描会议里的视频与音频判断参会者是否经过深度伪造。推送时间排在 11 月中旬覆盖 Teams 的 Windows 桌面版、Mac 版与网页版。最容易读错的一点是责任的分布。检测模型不在 Teams 里微软提供的是接入、权限控制与告警展示这三件事真正的判断由外部服务商完成。Graph 的测试版文档里已经列出reportSyntheticMedia这个操作链路是这样的检测机器人先被允许加入通话管理员再给它Calls.ReportSyntheticMedia.All权限机器人在通话中标记具体参会者提交 0.0 到 1.0 之间的置信度以及低、中、高三档判断Teams 收到后转成会议内的警告弹窗附上可以执行的操作。权限那一环的分量要掂量。Calls.ReportSyntheticMedia.All属于应用级的高敏权限拿到它的机器人可以对通话里的任何人提交合成媒体判断换句话说误报会直接变成一场会议里的公开提示。微软在合规说明里也提示第三方服务商在检测过程中可能分析会议的音视频信号管理员启用之前应当先审服务条款与数据处理方式这一句把选型责任明确交给了组织自己。落地的顺序因此值得提前排。先定供应商再看它的误报率与响应时间再决定告警给谁看、参会的普通员工看到什么措辞、安全团队从哪里收日志。这几件事都不是打开开关就能解决的而 11 月中旬离现在只剩三周。同一时期 Teams 侧还在加别的安全能力外部首次接触聊天的上下文钓鱼检测在 11 月初进入定向发布12 月铺到全球管理员不需要做动作。两类能力叠在一起之后会议与聊天两条通道的风控口径最好一次对齐别让同一次可疑接触在聊天里被拦下、在会议里只弹一个没人看的提示。五、速报Foundry 的 Decisions API 转正。10 月 22 日Azure OpenAI 形态的 Decisions API 在 Microsoft Foundry 正式可用端点走/openai/v1/decisions目前只支持 gpt-6-luna 一个模型每百万输入 token 0.10 美元输出不计费单次请求最多带 400 个问题输入可以是文本也可以带图。题型分三类判断真假、从列表里选一个、按评分尺度打分。文档提醒把拒答当成独立答案类型处理它不等于低概率。区域落在瑞典中部。GitHub Copilot 能直接在 Teams 通知线程里开工。在仓库通知下回复并 GitHub描述要做的事Copilot 会去复现问题、跑测试、改代码最后提交一个 PR上下文取自关联的 issue 或 PR 加上这段对话。前置条件是付费的 Copilot 计划与已启用的云沙箱组织与企业账号还需要管理员单独打开 Copilot 云智能体与云沙箱两项设置。Windows Server 2022 转入扩展支持。10 月这次更新之后Server 2022 离开主流支持进入扩展支持阶段月度安全更新持续到 2031 年 10 月 14 日。同一次更新里23H2 的企业版与教育版还留有一次 11 月的补丁之后在 11 月 10 日结束更新。本日报基于公开报道整理仅供参考。

微软技术日报 2026-10-26：.NET 重发十月补丁，Teams 把深伪判断交给第三方

相关推荐

Git冲突解决：预防与处理团队协作中的代码合并问题

Git冲突解决全指南：从原理到实践

JWFD工作流矩阵引擎：高性能并行任务调度解析

更多资讯

营销技能全景拆解：从用户洞察到数据闭环的实战方法论

AI+生物学论文写作：科研表达能力的底层重建

C#与YOLO26结合实现高效工业视觉检测

智能体安全实战：从53张图片外泄看配置漂移与权限边界

预训练模型评估：从原理到实践的关键策略

敏感数据识别技术：原理、实现与应用场景

今日更新

Agent-Reach：打通大模型触达外部系统的最后一公里

深度学习图像隐写分析实战：从CNN原理到毕设源码全解析

AI赋能知识产权供需匹配：专利评估、需求挖掘与多路召回工程实践

本周精选

防幻觉智能体架构：电源硬件设计中的大模型编排与工具化实践

OpenGL面试核心考点：渲染管线、矩阵变换与性能排查全解析

全国计算机二级C语言真题PDF高效刷题指南

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？