结论先行：补丁排期通常按「会不会影响业务」来排序，这对多数漏洞是成立的。但对一类漏洞不成立——它自己不会造成中断，它做的是让原有的判断依据失效。判断依据一旦失效，靠它兜底的一整条防护链会同时失效。可行的做法是把这类单独列成一类：不看它自己能不能造成中断，而看它被拿掉之后，后面还剩什么。
一个月的修复量，本身已经是个变量
据公开报道，一家主流操作系统厂商在 2026 年 10 月的月度安全更新里，一次修复了 1,411 个漏洞，其中 70 个被标为严重级别，57 个属于远程代码执行。这是该厂商单次发布的纪录，而上一个月刚创下的纪录是 974 个，两个月连着破。
按类型拆分，数量分布大致是：权限提升 677 个、远程代码执行 317 个、信息泄露 254 个、拒绝服务 73 个、安全特性绕过 40 个、欺骗 28 个。
值得留意的是量为什么会涨。该厂商的公开说明把这一趋势归因于引入自动化工具来发现和修复问题。也就是说，发现侧的产能上来了，而修复与部署侧的产能并没有同步变化——企业收到的是一份更长的清单，处理它的还是同一批人。
绕过类漏洞的特别之处
这次更新里有三个在发布时还没有可用补丁的问题，其中两个属于「安全特性绕过」。
一个已被在野利用，是一个命令注入问题（CVE-2026-96951，严重程度评分 8.8）。它绕过的是系统给「从互联网下载的文件」附加的那条来源标记——正常情况下，带标记的文件在打开前会多一道提示；这条标记被绕开之后，提示不再出现，一份来历不明的文件看起来和本地文件没有区别。多个下游保护都依赖这条标记有没有被正确打上。
另一个已经公开披露（CVE-2026-108398），可以绕过终端上的应用控制白名单：攻击者把一个构造过的组件放在目标机器上，再借受保护的进程把它加载起来，从而绕开「只允许运行白名单内程序」的限制，而且不需要用户交互。
这两个问题的共同点是：它们自己不会让业务停下来。装上了、扫描结果变绿了、业务照常跑——所以在一个按业务影响排序的队列里，它们天然会被排到后面。但它们做的不是制造影响，而是把判断依据拿掉。依据没了，后面依赖它的每一层都成了摆设，而且过程中不会有任何报错。
换一个评估依据
评估一个绕过类漏洞，可以不问它会做什么，而问它失效之后还剩下什么。
- 这条判据，是不是「放不放行」这个决定的主要依据？如果它失效之后没有第二道判断，风险就集中在这一点上。
- 下游有哪几层保护把它的结论当输入？把它们逐条列出来，就是影响面的下界。
- 把它拿掉之后，攻击者还需要什么？如果答案是「只需要一次正常的用户操作」，那实际风险就远高于它自己的评分。
企业侧可以做的三件事
- 把「安全特性绕过」单独列一类。不与其它类型混排。分类不是为了好看，是为了让它在排序时不被同分的远程代码执行挤掉。
- 补丁到位之前，不把那条判据当成单一依靠。以外来文件为例，来源标记之外还可以加一步人工确认；应用控制之外还可以配合权限收敛，让「能加载的东西」本身就少。
- 书面记录「这一批为什么没有先修」。修得快不等于修得对，而「不修」同样需要依据：谁评估的、基于什么判断、什么时候复查。这份记录在事后复盘与合规检查里都会用到。
边界与前提
三点需要说明。其一，不同厂商的漏洞分类口径并不一致，同一个问题被归到哪一类，各家可能不同；数量统计口径也有差异，有的只算当日发布，有的把当月累计算进来，跨来源的数字不能直接相比。其二，「绕过类」不等于「一定已被利用」，这次的三个问题里只有一个确认在野利用。其三，本文讨论的是排序依据，不涉及对具体平台或工具的评价。深圳市奇摩计算机有限公司在数据中心与终端安全的服务中，会把漏洞的性质分类和资产可达性一起写进处置口径，而不是只看评分高低。
需要把这套分类与处置口径落到日常流程里，欢迎 预约咨询。