Windows Shell 漏洞遭利用：現在該安裝的安全更新

Windows 使用者若尚未安裝適用安全更新，應立即透過 Windows Update 檢查並完成修補。CVE-2026-96951 是 Windows Shell 命令注入漏洞，CVSS 3.1 評分 8.8；NVD 記錄攻擊者可經網路發動攻擊、無須帳號，但需要使用者操作，且成功後可能影響資料機密性、完整性與系統可用性。微軟安全更新頁列出廠商資訊；NVD 紀錄也將利用狀態標為 active。想參照其他已遭利用漏洞的更新確認方式，可看Chrome 瀏覽器安全更新指南。

美國 CISA 已於 2026 年 10 月 13 日將此漏洞列入已知遭利用漏洞目錄（KEV），確認它已遭實際利用。CISA 目錄的勒索軟體活動使用欄位目前標為「Unknown」，因此公開紀錄尚不能確認勒索軟體攻擊活動曾使用此漏洞。CISA KEV 官方資料列出這兩項資訊。漏洞可從網路觸發，但仍需要受害者配合操作，例如開啟連結或檔案；請勿因裝置尚無異常就延後更新，也要留意來源不明的連結、附件與下載檔案。

個人使用者可開啟「設定」中的「Windows Update」，選取檢查更新，安裝所有適用的安全更新並依提示重新啟動；重開機後再檢查一次，確認沒有待安裝項目。微軟更新指南依 Windows 版本列出對應修補資訊，若更新未出現，先核對裝置版本與該版本的修補說明。其他平台的更新檢查可參考本站整理的iPhone 與 Mac 已遭利用漏洞更新步驟。

企業與機關資訊管理人員應依 CISA BOD 26-04 的風險優先修補指引排定時程；CISA KEV 目錄列出的期限為 2026 年 10 月 16 日。各單位需盤點對外網路曝露的資產，並參照「鑑識分級要求」（Forensics Triage Requirements）處理。雲端服務也應依 BOD 26-04 相關指引評估；若無法取得緩解措施，指引要求停用該產品。CISA KEV 官方資料載有期限及處置要求。

常見問題

只要沒有點可疑連結，就可以先不更新嗎？
不建議延後。CISA 已將漏洞列入 KEV，且 CVSS 評分為 8.8；請先完成適用的安全更新，再持續留意不明連結與檔案。

Windows Update 找不到這項修補怎麼辦？
先確認 Windows 版本，再對照微軟安全更新指南中的受影響產品與修補資訊。不同版本的更新可能不同，企業管理的裝置也應由資訊人員核對更新部署狀態。