每天早上 8 点，看一遍微软技术圈过去 24 小时发生了什么。
今日速览
- 10 月 25 日，.NET 8、9、10 收到带外安全更新，版本是 8.0.33、9.0.22、10.0.14，.NET 11 顺带发出 RC3。除了 Brotli 解压缺陷，官方还重发了两条 10 月 13 日没修干净的公告。
- Edge 有了原生的全球隐私控制开关，位置在设置里的隐私页，目前只对美国地区开放。网站收到信号后可以不理。
- Windows 11 26H2 对全部符合条件的 24H2 与 25H2 设备放开，靠一个 173 KB 的启用包完成升级。24H2 家用版与专业版已在 10 月 13 日之后停更。
- Teams 把会议深伪检测交给第三方，微软提供 Graph 接口与告警弹窗，11 月中旬起在桌面版、Mac 版与网页版陆续推送。
一、十月补丁重发，两条旧公告没修干净
10 月 25 日，.NET 团队发出带外安全更新，覆盖 .NET 8、9、10，同时把 .NET 11 的 Release Candidate 3 一起放出来。作者 Rahul Bhandari，文章的措辞很直接，建议尽快更新。四个版本对应的补丁是 8.0.33、9.0.22、10.0.14 和 RC3，装过 RC2 的要升到 RC3 才能拿到修复。
这批更新的主因是 CVE-2026-111497。问题在 .NET 对 Brotli 解压算法的使用上，属于缓冲区溢出，未认证的攻击者可以读取或破坏进程内存，后果可能是信息泄露、拒绝服务，也可能被用来提权，影响面是全平台。触发路径只有三条，ASP.NET Core 的请求解压中间件、HttpClient 的自动响应解压，以及 System.IO.Compression 里的 Brotli 接口。前两项默认不开，这一点决定了受影响的不是所有 .NET 应用，而是那些显式处理 Brotli 压缩数据的服务。.NET Framework 用的是另一套实现，不在影响范围内。
第二条是 CVE-2026-114148，Linux 上的 .NET tarball 带了不安全的属主元数据，本地攻击者可以借机改动文件、拿到更高权限。这一条的分层要看清。对 .NET 10 与 .NET 11，只有从源码构建用的 tarball 受影响；对 .NET 8 与 .NET 9，通过 ASP.NET Core tarball 安装的发行版也在范围内，即便团队从不自己编译运行时，也得换掉安装包。
还有两条是重发。CVE-2026-70197 是 SocketAsyncEventArgs 的内存破坏，影响 8、9、10、11 四个版本；CVE-2026-102870 官方博客写作 Blazor WebAssembly 调试器上的问题，MITRE 的记录标题则是 ASP.NET Core 远程代码执行，产品栏列出 Blazor WebAssembly 的开发服务器包与服务器端包，另外挂上了 .NET 10、.NET 11 运行时与几个 Visual Studio 版本，包括 2019 的 16.11.61、2022 的 17.14.43，以及 2026 的 18.10.4、18.11.2、18.12 Insiders 第三版之后，CVSS 8.8。两条重发的原因写在同一句话里，10 月 13 日那次发布没有完全解决这些问题，今天的更新补上。
更新的动作按部署形态分开写，这里最容易被漏掉的是后三类。框架依赖的应用，装上对应版本的运行时并重启进程即可。自包含应用要把新运行时打进去重新发布，在宿主机上装新运行时不会改动产物里自带的那一份。容器要换官方基础镜像重建镜像，再重新部署。从源码构建的消费者取新的构建产物重做发行包。用 ASP.NET Core tarball 安装 .NET 8 或 9 的环境，换成刷新后的 tarball。自查用dotnet --list-runtimes，看的是那台机器实际装着什么，而不是文档里写了什么。
放到时间线上看，这次带外的分量更清楚。11 月 10 日是 .NET 8 与 .NET 9 的最后一个补丁窗口，也是 .NET 11 的正式版发布日期。两条线撞在同一天，意味着这次带外更新发完之后，8 与 9 只剩一次机会。同一周里 Brotli 这条缺陷波及的也不止 .NET，Node.js 与 Envoy 先后发了版本，一批嵌了相同解压实现的 HTTP 服务都在换包。
二、Edge 把 GPC 做进设置页，只对美国开放
10 月 25 日，Neowin 在微软的支持文档里发现了新条目，Edge 已经把全球隐私控制做成了浏览器内置开关。开关位置在设置里的隐私、搜索和服务，再往下是隐私，最后一项就是全球隐私控制。打开之后，Edge 会向访问的每个站点发送 GPC 信号，表达用户不希望自己的个人数据被出售或用于定向广告。
GPC 本身不是微软的产品。W3C 在 2020 年 10 月发布这份规范，落地形式是请求头Sec-GPC: 1与页面里的navigator.globalPrivacyControl属性，站点读到就知道该用户已声明退出。Firefox 与 Brave 早就内置并默认开启，Chrome 与 Edge 的用户过去只能装扩展来实现。Chrome 这边的进度是代码在 7 月合进了 Chromium 主分支，Canary 里能开实验开关，正式版还没有这个选项。
微软在自己的说明里写了两条限制。信号是请求，不是强制，站点可以选择遵守，也可以无视，开启之后不代表所有跟踪都会停止，也不保证个人信息一定不被共享。另一条是地域，当前只有美国地区的设置里有这一项，其他地区要等后续。
放到合规流程里看，这个改动的意义在于去掉一层依赖。此前要给站点发 GPC 头，一般靠扩展、靠代理注入，或者靠企业策略在出口处加。内置之后，用户侧的动作就是点一个开关，浏览器自己负责发。代价是范围，非美国地区的用户现在还看不到这个入口，跨境团队做隐私声明时不能把它当作已全覆盖的能力。
三、26H2 全量放开，升级包只有 173 KB
10 月 25 日，Neowin 报道微软已经确认 26H2 的推送进入全量阶段，凡是在跑 24H2 或 25H2 且符合硬件条件的设备，现在都能拿到这个版本。Windows Release Health 页面在 10 月 21 日就把状态标成了完全可用，媒体报道晚几天，给出的判断是符合条件就不该再等。
这个版本走的是启用包路线，包号 eKB5121794，体积 173 KB，ARM64 版 175 KB。前提是设备已经装上 9 月 22 日那次更新或更新的补丁，装过 10 月累积更新的机器直接满足。装完重启一次就完成切换，不需要重装系统，也不需要额外的介质。版本号这条线可以对着看，26H2 在 9 月 29 日开始推送，首个带新版本号的构建是 26300.9457，9 月 22 日的 KB5124010 把它推到 26300.9550，10 月 13 日的 KB5127648 再到 26300.9711。
为什么现在要处理这件事，理由在 24H2 身上。10 月 13 日那次累积更新是 24H2 家用版与专业版的最后一次月度更新，此后不再收安全修复，也不再提供支持；企业版与教育版不在其中，它们能用到 2027 年 10 月 12 日。往上走一级，26H2 的家用与专业版支持到 2028 年 10 月 10 日，企业版与教育版到 2029 年 10 月 9 日，比 25H2 多出一年。还在 24H2 家用或专业版上的机器，把版本推到 26H2 是唯一继续收补丁的路径。
有一个例外要先排掉。26H1 用的是另一套内核，构建号 28000 系列，2026 年 2 月随骁龙 X2 这类新 Arm 笔记本出厂预装，它不能升到 26H2，走自己的月度更新，10 月对应的是 KB5127646，版本 28000.3231。设备清单里混着 26H1 与 24H2 时，别用同一条升级任务覆盖过去。
推送放开不等于每台机器马上就能看到。微软保留了兼容性保护暂停，遇到已知的驱动或应用冲突会按住不放，所以设置里显示已是最新、却迟迟没有 26H2 的情况属于正常。想更早拿到，把设置里“尽快获取最新更新”打开，再去检查更新。企业侧照旧用更新环与策略推，先拿一批有代表性的机型试，包括那些带特殊 VPN、旧打印机、音频接口与端点安全工具的机器，比追版本号更实际。
四、Teams 的深伪检测由第三方做，微软只做通道
10 月 25 日，Windows Latest 报道 Teams 将允许组织接入经认证的第三方工具，扫描会议里的视频与音频，判断参会者是否经过深度伪造。推送时间排在 11 月中旬，覆盖 Teams 的 Windows 桌面版、Mac 版与网页版。
最容易读错的一点是责任的分布。检测模型不在 Teams 里，微软提供的是接入、权限控制与告警展示这三件事，真正的判断由外部服务商完成。Graph 的测试版文档里已经列出reportSyntheticMedia这个操作，链路是这样的，检测机器人先被允许加入通话，管理员再给它Calls.ReportSyntheticMedia.All权限，机器人在通话中标记具体参会者，提交 0.0 到 1.0 之间的置信度，以及低、中、高三档判断，Teams 收到后转成会议内的警告弹窗，附上可以执行的操作。
权限那一环的分量要掂量。Calls.ReportSyntheticMedia.All属于应用级的高敏权限，拿到它的机器人可以对通话里的任何人提交合成媒体判断，换句话说，误报会直接变成一场会议里的公开提示。微软在合规说明里也提示，第三方服务商在检测过程中可能分析会议的音视频信号，管理员启用之前应当先审服务条款与数据处理方式，这一句把选型责任明确交给了组织自己。
落地的顺序因此值得提前排。先定供应商，再看它的误报率与响应时间，再决定告警给谁看、参会的普通员工看到什么措辞、安全团队从哪里收日志。这几件事都不是打开开关就能解决的，而 11 月中旬离现在只剩三周。同一时期 Teams 侧还在加别的安全能力，外部首次接触聊天的上下文钓鱼检测在 11 月初进入定向发布，12 月铺到全球，管理员不需要做动作。两类能力叠在一起之后，会议与聊天两条通道的风控口径最好一次对齐，别让同一次可疑接触在聊天里被拦下、在会议里只弹一个没人看的提示。
五、速报
- Foundry 的 Decisions API 转正。10 月 22 日，Azure OpenAI 形态的 Decisions API 在 Microsoft Foundry 正式可用，端点走
/openai/v1/decisions，目前只支持 gpt-6-luna 一个模型，每百万输入 token 0.10 美元，输出不计费，单次请求最多带 400 个问题，输入可以是文本也可以带图。题型分三类，判断真假、从列表里选一个、按评分尺度打分。文档提醒把拒答当成独立答案类型处理，它不等于低概率。区域落在瑞典中部。 - GitHub Copilot 能直接在 Teams 通知线程里开工。在仓库通知下回复并 @GitHub，描述要做的事，Copilot 会去复现问题、跑测试、改代码，最后提交一个 PR，上下文取自关联的 issue 或 PR 加上这段对话。前置条件是付费的 Copilot 计划与已启用的云沙箱，组织与企业账号还需要管理员单独打开 Copilot 云智能体与云沙箱两项设置。
- Windows Server 2022 转入扩展支持。10 月这次更新之后，Server 2022 离开主流支持，进入扩展支持阶段，月度安全更新持续到 2031 年 10 月 14 日。同一次更新里，23H2 的企业版与教育版还留有一次 11 月的补丁，之后在 11 月 10 日结束更新。
本日报基于公开报道整理，仅供参考。
