微軟、Adobe 每個月都會固定釋出一批資安更新，也就是常說的 Patch Tuesday，數量也越來越大：MSRC 目前公布的 10 月更新就列出 1,474 個 Microsoft CVE。
這個月（2026 年 11 月 10 日）微軟又公告 1,094 個 CVE，其中 Outlook 的一個漏洞已經被實際利用；美國 CISA 當天也把這個漏洞和 Chrome 的一個漏洞，連同其他 4 個弱點一起列入已知遭利用漏洞清單。Adobe 同一天則發布 9 份公告、合計 110 個 CVE 的修補。
這篇先整理一般用戶最需要的更新步驟，再來看看這個月的重點漏洞。這個架構每個月都可以沿用，下個月只要換掉版本號即可。
先做這幾件事：各產品的更新方式
建議的順序是：先更新 Windows 與 Office，再更新瀏覽器，最後才是 Adobe 等創作軟體。
| 產品 | 更新方式 | 確認方式 |
|---|---|---|
| Windows | 依序點選「開始」「設定」「Windows Update」「檢查 Windows Update」，有更新就選「下載 & 安裝」，依提示重新啟動 | 按 Win + R 輸入 winver 看版本，或到「Windows Update」的更新記錄找 KB 編號 |
| Outlook（經典版） | 開啟 Word 等任一 Microsoft 365 應用程式，進入「檔案」「Office 帳戶」「更新選項」「立即更新」 | 同一個畫面的「產品資訊」會顯示版本與組建編號 |
| Google Chrome | 右上角「更多」「說明」「關於 Google Chrome」，出現「重新啟動」就點下去 | 同一頁顯示的數字就是版本號 |
| Edge、Opera 等 Chromium 瀏覽器 | CISA 說明 Chrome 這個漏洞也可能影響這些瀏覽器，請到各自的「關於」頁面檢查更新 | Edge 對應版本見 Microsoft Edge 安全更新說明 |
| Adobe 創作軟體 | 開啟 Creative Cloud 桌面應用程式，到「應用程式」「管理更新」按「檢查更新」 | 開啟該軟體的「關於」畫面看版本 |
公司或學校統一管理的電腦，更新權限可能由 IT 部門控管，看不到更新選項時請直接詢問管理員。
怎麼對照自己的版本
更新完不要只看「已是最新」的提示，再用下面的版本號對一次。
Windows 先用 winver 確認自己的版本，再對照 MSRC 為這個月列出的更新編號：
| 你的版本 | 本月更新（KB 編號） |
|---|---|
| Windows 11 26H1 | KB5132059 |
| Windows 11 24H2、25H2、26H2 | KB5132043、KB5132061（MSRC 兩個編號都列） |
| Windows 11 23H2 | KB5131087 |
| Windows 10 21H2、22H2 | KB5131096 |
| Windows 10 1809、Windows Server 2019 | KB5131085 |
| Windows Server 2022 | KB5131090 |
| Windows Server 2025 | KB5131080（Hotpatch 版為 KB5131077） |
| Windows 10 1607、Windows Server 2016 | KB5131291 |
舉例來說，如果你用的是 Windows 11 25H2，更新記錄裡有這個月的 KB5132043，就表示已經套用。
Outlook 與 Chrome 比的是版本號，從左到右逐段比較，只要某一段比對照值小，就是還沒更新：
| 產品 | 至少要更新到 | 資料來源 |
|---|---|---|
| Office LTSC 2021（Outlook 漏洞） | 16.0.14334.21048 | MSRC CVE-2026-124194 |
| Office LTSC 2024（Outlook 漏洞） | 16.0.17932.21140 | MSRC CVE-2026-124194 |
| Microsoft 365 Apps | MSRC 指向 Office 安全性版本頁面，請依你的更新通道查對應版本 | MSRC CVE-2026-124194 |
| Chrome（Windows、Mac） | 157.0.8103.50 或 157.0.8103.51 | Chrome Releases 部落格 |
例如 Office LTSC 2021 顯示 16.0.14334.20950，前面兩段相同，第四段 20950 小於 21048，代表還沒套用。這個數字只是舉例，不是實際用戶版本。
微軟 11 月更新重點
1,094 與 1,259 差在哪
國內外報導的總數不太一樣：iThome 寫的是 1,094 個，The Hacker News 的標題寫 1,259 個。
MSRC 的 2026 年 11 月更新說明（Security Update Guide）同時列了兩個數字：這次發布包含 1,094 個 Microsoft CVE，另外重新發布 165 個非 Microsoft 的 CVE（註明為 Chrome CVE，不列在清單中）。1,094 加 165 剛好是 1,259，和 The Hacker News 標題的數字一致。
MSRC 沒有說明報導是否照這個方式計算，這部分以官方原文為準，我只確認到上述兩個數字與加總。
1,094 個 Microsoft CVE 依 MSRC 的分類如下：
| 產品類別（MSRC 原文） | 弱點數 |
|---|---|
| Windows | 726 |
| Office | 174 |
| SQL Server | 59 |
| Developer Tools | 53 |
| SharePoint Server | 27 |
| Other | 25 |
| Azure | 20 |
| Exchange Server | 9 |
| Defender | 1 |
資料來源：MSRC Security Update Guide 2026 年 11 月更新說明，產品類別名稱保留原文。
Outlook 的 NTLMv2 雜湊外洩漏洞
這個月 MSRC 在「Notable CVEs」只列了一個，就是 CVE-2026-124194（Microsoft Outlook Spoofing Vulnerability），標示為 Exploitation Detected，也就是偵測到已被利用。MSRC 同時標註「未公開揭露」，CVSS 基本分數 6.5，嚴重度為 Moderate。
| 項目 | 內容 |
|---|---|
| 影響範圍 | Office LTSC 2021、Office LTSC 2024、Microsoft 365 Apps（MSRC 列出的產品） |
| 攻擊方式 | 攻擊者寄出特製的訊息檔，說服使用者開啟 |
| 結果 | Outlook 會連到攻擊者控制的網路位置，而且不顯示一般的外部內容警告，使用者的 NTLMv2 雜湊可能因此外洩，攻擊者能用它冒充使用者驗證身分 |
| 預覽窗格 | MSRC 表示預覽窗格不是攻擊途徑 |
| 前提 | 需要網路連線與使用者互動（開啟檔案） |
這類弱點的關鍵在「使用者打開檔案」這一步，所以更新之外，來路不明的郵件附件先不要點開，是最直接的自保方式。
CISA 新增的 6 個遭利用弱點
CISA 在 2026 年 11 月 10 日把 6 個弱點加進 已知遭利用漏洞目錄（KEV），上面的 Outlook 漏洞是其中之一，另一個是 Chromium 的 CVE-2026-125350。
下表取自 CISA KEV 目錄的名稱與日期，其中「期限」是 CISA 對美國聯邦機構要求完成處置的日期，一般用戶沒有強制要求，但可當作緊急程度的參考。
| CVE | 廠商與產品 | 弱點名稱 | 加入日 | 聯邦機構期限 |
|---|---|---|---|---|
| CVE-2026-124194 | Microsoft Office | 原文：Microsoft Office Outlook Missing User Interaction for Potentially Unsafe Action Vulnerability 翻譯：Microsoft Office Outlook 對潛在不安全動作缺少使用者互動確認的漏洞 | 2026-11-10 | 2026-11-24 |
| CVE-2026-125350 | Google Chromium | 原文：Google Chromium Use-After-Free Vulnerability 翻譯：Google Chromium 的 Use-After-Free（釋放後使用）漏洞 | 2026-11-10 | 2026-11-24 |
| CVE-2026-20320 | Cisco BroadWorks | 原文：Cisco BroadWorks Improper Restriction of XML External Entity Reference Vulnerability 翻譯：Cisco BroadWorks 對 XML 外部實體參照限制不當的漏洞 | 2026-11-10 | 2026-11-24 |
| CVE-2026-111793 | Openwave Messaging Limited Webtop Media Transcoder | 原文：Openwave Messaging Limited Webtop Media Transcoder Incorrect Resource Transfer Between Spheres Vulnerability 翻譯：Openwave Messaging Limited Webtop Media Transcoder 在不同範疇之間資源傳遞不正確的漏洞 | 2026-11-10 | 2026-11-24 |
| CVE-2026-111560 | Barracuda Networks 多項產品 | 原文：Barracuda Networks Multiple Products OS Command Injection Vulnerability 翻譯：Barracuda Networks 多項產品的作業系統指令注入漏洞 | 2026-11-10 | 2026-11-13 |
| CVE-2026-116606 | Barracuda Networks Email Security Gateway (ESG) | 原文：Barracuda Networks Email Security Gateway (ESG) Authentication Bypass Using an Alternate Path or Channel Vulnerability 翻譯：Barracuda Networks Email Security Gateway (ESG) 透過替代路徑或通道繞過驗證的漏洞 | 2026-11-10 | 2026-11-13 |
資料來源：CISA KEV 目錄。中文由 AI 翻譯，翻譯可能有誤，如有出入，以官方原文為準。
一般用戶最需要留意的是前兩個：
- Chromium： Google 的 Chrome 穩定版更新公告指出，Google 已知 CVE-2026-125350 的攻擊程式存在於野外。這個漏洞出在 XML 元件，Chrome 穩定版 157.0.8103.50／.51（Windows、Mac）這次更新含有此項修補。CISA 的說明提到，使用 Chromium 的其他瀏覽器，包括 Edge、Opera，也可能受影響。
- Outlook： 就是上一節的 CVE-2026-124194。
其餘四個偏企業與設備管理員的產品：Cisco BroadWorks 的漏洞，CISA 描述為未經驗證的遠端攻擊者可讀取敏感設定資訊；Openwave 則是已驗證使用者繞過 Webmail 後，能處理並轉換非預期的文件類型。兩個 Barracuda 漏洞可以串連使用，細節與修補版本已整理在〈Ivanti、SonicWall、Barracuda、Cisco 設備漏洞遭利用：CISA KEV 新增 VPN 與防火牆漏洞整理〉，這裡不重複。
同一段時間 CISA 新增的 GitLab、GPUStack、IBM Aspera Faspex 等其他項目，請看〈GitLab、GPUStack、IBM Aspera、Magento、VMware ESX、Apple 漏洞列入 CISA KEV〉。
Adobe 11 月上半更新
Adobe 在 2026 年 11 月 10 日發布 9 份安全公告，各公告的 CVE 數加起來是 110 個，與國內報導的數字一致。其中只有 Experience Manager 與 Connect 的優先等級（Priority）為 2，其餘為 3；Adobe 在各公告中都表示，不知道有任何漏洞已被利用。
| 公告 | 產品 | CVE 數 | 優先等級 | 修補版本 |
|---|---|---|---|---|
| APSB26-191 | Connect（Windows） | 24 | 2 | 12.12.a、12.11.i、12.10.f、12.9.a、12.8.a |
| APSB26-100 | After Effects | 17 | 3 | 26.5.3（或 27.0） |
| APSB26-189 | Experience Manager | 14 | 2 | Cloud Service 2026.10.29251；6.5 與 6.5 LTS 安裝對應的 Cumulative Hotfix（GRANITE-75052） |
| APSB26-181 | Photoshop | 13 | 3 | 2026 版 27.11.1；2027 版 28.0 |
| APSB26-184 | Content Credentials SDK | 13 | 3 | Rust SDK c2pa-v0.91.11；C2PA Tool c2patool-v0.28.6 |
| APSB26-102 | Audition | 11 | 3 | 26.5.3 |
| APSB26-101 | Premiere | 11 | 3 | 26.5.3（25.6.6 以下對應 27.0） |
| APSB26-103 | Media Encoder | 6 | 3 | 26.5.3 或 27.0 |
| APSB26-190 | Dimension（macOS） | 1 | 3 | 4.1.10 |
資料來源：Adobe 各安全公告，產品名稱保留原文；CVE 數為各公告列出的相異 CVE 編號，總和 110 為本文加總。
比對方式和前面相同：先開啟軟體的「關於」畫面看版本，再對照上表。例如 Photoshop 2026 若顯示 27.11，低於 27.11.1，就需要更新。
有幾個地方要留意：
- Photoshop 2025： 受影響版本為 26.11.8 以下，公告寫明沒有後續更新計畫，要改用 2026 或 2027 版才有修補。
- Audition、Premiere、After Effects 的 25.6.6 以下舊分支： 公告沒有明確對應的修補版本，只列出新版 27.0，建議自己到 Adobe 公告確認升級路徑。
- Connect 與 Experience Manager： 兩者屬於伺服器端產品，通常由管理員處理。Connect 的 CVSS 最高為 10.0，Experience Manager 最高為 9.9，這兩項也是本月 9 份公告中優先等級最高的。
參考資料與延伸閱讀
- MSRC：2026 年 11 月安全性更新說明
- MSRC：CVE-2026-124194 Microsoft Outlook Spoofing Vulnerability
- CISA：Known Exploited Vulnerabilities Catalog
- Chrome Releases：Stable Channel Update for Desktop（2026 年 11 月 9 日）
- Adobe：Security Bulletins and Advisories
- Microsoft 支援：Windows Update 說明
- Microsoft 支援：What version of Outlook do I have?
- Google Chrome 說明：更新 Google Chrome
- Adobe：Check for app updates in Creative Cloud desktop app
- iThome：微軟發布11月例行更新，修補1,094個資安漏洞
- iThome：CISA警告6個弱點遭積極利用，其中包含Outlook、Chrome零時差漏洞
- iThome：Adobe發布11月上半例行更新，修補110個資安漏洞
- The Hacker News：Microsoft Patches 1,259 Flaws, Including Exploited Outlook Bug That May Expose NTLMv2 Hashes
發佈留言