微软单月修1235个漏洞，安全债该还了

刚看到微软11月补丁星期二的数据，修复了1235个漏洞，比去年同期的63个涨了将近19倍。这个数字放在整个补丁星期二历史上都算炸裂，仅次于10月的1411个。作为常年盯漏洞情报的人，我第一反应不是微软变勤快了，而是前些年攒下的安全债正在集中清算。

翻了下今年逐月的数据，趋势非常明显：上半年还在几十到一百多徘徊，六月开始翻倍，七月破六百，九月接近一千，十月直接冲到1411。一至十一月累计5155个CVE，去年同期才1111个，同比涨了364%。这种斜率不像正常迭代，更像内部安全流程和外部报告渠道同时被放大了。从类型看，权限提升漏洞536个排第一，远程代码执行296个紧随其后，信息泄露157个、Edge相关142个。关键级别66个里有48个是RCE，这个比例对运维来说压力不小，意味着打补丁的优先级不能只看数量，得盯住那批能直接拿权限的。我的判断是，漏洞数暴涨未必等于产品变差，更可能是微软把更多组件纳入统计口径、赏金计划扩围、AI辅助代码审计开始见效。但对出海团队来说，结论很现实：Windows和Edge占了修复量的大头，海外客户对补丁SLA越来越较真，安全基线不能再按季度走了。建议做两件事：一是把微软补丁纳入周级巡检，重点跟RCE和EoP；二是给Edge单独留出更新窗口，别混在系统补丁里一起排。数量纪录还会被刷新，能控制的是自己的响应节奏。