Windows-patchning när sårbarheter offentliggörs i AI-takt: vår nya forskning

Antalet CVE:er för Windows och Office har ökat kraftigt, men den genomsnittliga allvarlighetsgraden hos dem har inte gjort det. Det är den centrala slutsatsen i vår nya forskning. Under det senaste fullständiga året (oktober 2025 till september 2026) räknar studien 2 438 unika CVE:er för Windows och Office, en ökning med 159,1 % jämfört med 941 året före, medan det genomsnittliga CVSS v3-basvärdet gick från 7,43 till 7,37 och sedan till 7,28. För den som ansvarar för patchning eller programpaketering är den användbara frågan inte längre hur många CVE:er som har publicerats. Det handlar om hur du hänger med i ett snabbare flöde av uppdateringar och kan visa att varje uppdatering faktiskt körs.

Rapporten, Windows patching when disclosure moves at AI speed, är en beskrivande studie över 36 månader av CVE:er för Windows och Office, programmens releasetakt och åtgärdstider. Den har skrivits av Ryan Mangan på EfficientEther. Det är forskning som företaget självt har tagit fram och den har inte genomgått referentgranskning. Den är publicerad som en öppet tillgänglig preprint på Zenodo under en CC BY 4.0-licens. EtherApps Forge-utgåvan, som är samma forskning i en designad layout, är kostnadsfri från registreringssidan.

Vad studien fann

Det här är de viktigaste siffrorna, så som rapporten anger dem.

• 2 438 CVE:er för Windows och Office under det senaste fullständiga året, jämfört med 941 året före och 679 året dessförinnan (+38,6 %, därefter +159,1 %). Rapporten finner att ökningen är koncentrerad till mitten och slutet av 2026.
• Ett i stort sett oförändrat genomsnittligt CVSS v3-värde på 7,43, 7,37 och 7,28. CVE:er med värdet 9,0 eller högre steg från 11 till 60 mellan de två senaste fullständiga åren, så ett stabilt genomsnitt innebär ändå många fler allvarliga offentliggöranden i absoluta tal.
• 18 Windows-CVE:er med dokumenterat erkännande för AI-assisterad upptäckt. Det här är en källverifierad uppsättning exempel. Det är inte en uppskattning av AI:s andel av upptäckterna.
• Releasedagar under ett år: 69 för Microsoft Edge, 64 för Chrome och 61 för Visual Studio Code. Tre stora leverantörer meddelade kortare releasecykler under studiens gång.
• Inget genomsnitt för åtgärdstid i hela kohorten. Ingen av de 4 058 CVE:erna i det fullständiga 36-månadersfönstret har ett användbart strukturerat datumpar för avisering och korrigering.

Hur du läser siffrorna

Studien är beskrivande, och dess begränsningar spelar lika stor roll som dess resultat.

• Den hävdar inget orsakssamband. Rapportens slutsats är att AI bidrar till förändringen, men dess andel, en universell multiplikator för upptäcktshastigheten och varje proportionell förändring av risken för intrång förblir omätta.
• Datumet är ett rapporteringsdatum hos Microsoft. Varje CVE är daterad efter sin tidigaste giltiga revidering i Microsofts månatliga dokument om säkerhetsuppdateringar. Det är ett ersättningsmått för offentliggörandet, inte ett observerat upptäcktsdatum eller ett datum då en kund installerade patchen.
• Oktober 2026 är en ofullständig månad. Den sträcker sig till avstämningsdatumet för underlaget den 26 oktober och redovisas separat från de tre fullständiga åren.
• Releasepanelen är liten med avsikt. Sex releaseströmmar för program illustrerar olika paketeringsmönster. De representerar inte all Windows-programvara, och en releasedag är tillgänglighet, inte en obligatorisk distribution.
• Volym omsätts inte i arbetsbörda. Tillväxt i offentliggöranden kan inte räknas om till samma procentuella ökning av paket, nedladdningar, omstarter eller personaltimmar.

Rapporten redovisar också sina intressen. EfficientEther utvecklar och säljer EtherApps Forge, och studien utvärderar varken EtherApps Forge eller någon annan kommersiell produkt.

Vem det riktar sig till

Om du ansvarar för patchning, hantering av slutpunkter eller programpaketering i en organisation med 50 till 600 användare, eller gör det åt flera kunder som MSP, ger rapporten dig tre saker att ta med in i ditt nästa planeringssamtal.

1. En försvarbar utgångspunkt. Kohorter för fullständiga år med uttryckliga regler, så att du kan sluta citera råa CVE-summor som blandar produkter, datum och ofullständiga månader.
2. Ett skäl att skilja mottagningen av releaser från paketeringsarbetet. Rapporten föreslår löpande mottagning av releaser, separata spår för snabba, förutsägbara och glesa releaseströmmar, belägg för att varje uppdatering faktiskt körs, och automatisering för utförandet, medan människor äger vad som testas, vad som räknas som godkänt och vilka undantag som är acceptabla.
3. Underlag som du kan vidarebefordra. En källhänvisning och ett analytiskt supplement låter en change board, en ekonomiansvarig eller en kund kontrollera siffrorna i stället för att lita på vårt ord.

Där EtherApps Forge passar in

EtherApps Forge fångar Windows-program på de datorer där de redan körs och omvandlar dem till signerade MSIX-, MSI-, Intune- och App Attach-paket för Microsoft Intune, Windows 365 och Azure Virtual Desktop. Det är paketeringssidan av det arbete som den här forskningen beskriver. Om du avgör hur stor del av en snabbare releaseström från leverantörer som ditt team ska paketera centralt, täcker MSIX-paketering och distribution och modernisering och migrering av program vägen dit. Vår tidigare forskning om 3 261 automatiserade MSIX-paketeringsfall och läget för programpaketering 2026 står vid sidan av den här studien.

Citera som: Mangan, R. (2026). Windows Patching, AI-Assisted Discovery and Application Assurance: A 36-Month Descriptive Study of Windows and Office CVEs, Application Release Cadence and Remediation Timing. Zenodo. https://doi.org/10.5281/zenodo.23780566

Hämta forskningen om Windows-patchning och ta med siffrorna till ditt nästa planeringsmöte om patchning och paketering.