Antalet Windows-CVE:er 2026: vad patchningsteam bör mäta

Under de tre fullständiga åren i vår nya forskning gick antalet unika CVE:er för Windows och Office från 679 till 941 till 2 438 (+38,6 %, därefter +159,1 %), medan det genomsnittliga CVSS v3-basvärdet gick från 7,43 till 7,37 till 7,28. Det är en mycket större inkommande arbetsbörda med en genomsnittlig allvarlighetsgrad som inte har stigit, och därför är ett rått CVE-antal ett dåligt sätt att styra ett patchningsprogram. Det här inlägget går igenom vad siffrorna säger, hur kohorten byggdes, vad du bör mäta i stället och vad studien inte kunde mäta. Forskningen är skriven av företaget självt och har inte genomgått referentgranskning. Vi presenterade forskningen den 2 november, och hela rapporten finns på registreringssidan.

Vad årssiffrorna säger

Rapporten jämför tre icke-överlappande fullständiga år, vart och ett från oktober till september, så att ingen ofullständig månad snedvrider jämförelsen.

Unika CVE:er för Windows och Office i rapportens tre fullständiga årskohorter. Windows och Office överlappar, så den sammanlagda mängden är rensad från dubbletter och de två antalen får inte adderas.

Ökningen är inte jämnt fördelad. Rapporten finner att den är koncentrerad till mitten och slutet av 2026: juli hade 483 CVE:er, augusti 316 och september 819, mot en median på 69 i månaden över de 36 fullständiga månaderna. Oktober 2026 bidrar redan med 1 277 CVE:er för Windows och Office fram till avstämningsdatumet den 26 oktober, varav 1 114 poster för operativsystemet Windows. Det här är reviderade månatliga summor av offentliggöranden som inkluderar poster utanför den ordinarie cykeln, så de ska inte likställas med en nyhetsrapport som bara räknar den ursprungliga Patch Tuesday-releasen. Rapporten extrapolerar inte en enskild månad till en årsprognos och hävdar inget signifikanstest eller någon orsaksmässig brytpunkt.

Under de senaste 12 rapporteringsmånaderna (november 2025 till oktober 2026, där oktober är ofullständig) innehåller kohorten 3 565 CVE:er, ungefär 297,1 per rapporteringsmånad. Att dividera med 12 beskriver genomströmning per rapporteringsmånad och räknar inte om oktober till en hel månad. Kontrollen med fullständiga månader fram till september 2026 ger 2 438 CVE:er över 12 månader, 3 379 över 24 och 4 058 över 36.

Den genomsnittliga allvarlighetsgraden steg inte

Genomsnittet ger inget stöd för en generell ökning av den genomsnittliga basallvarligheten, men det betyder inte heller att risken har minskat. Det absoluta antalet allvarliga offentliggöranden kan växa medan deras genomsnitt förblir stabilt: under det senaste året har 1 841 av 2 436 poängsatta poster (75,6 %) ett värde på minst 7, och 60 har 9,0 eller högre. Rapporten behandlar CVSS som en allvarlighetsskala och dess genomsnitt som en beskrivande sammanfattning, inte som en förväntad ekonomisk förlust eller en sannolikhet för intrång. Leverantörernas Critical-etiketter är en annan klassificering och redovisas separat.

Studien kopplar också varje CVE till CISA:s katalog Known Exploited Vulnerabilities. Antalet CVE:er i katalogen i de tre årskohorterna är 29, 25 och 21 vid avstämningsdatumet. Rapporten kallar det ett beskrivande tvärsnitt, inte ett belägg för att utnyttjande blir mindre vanligt: uppföljningstiden skiljer sig åt, katalogens täckning är ofullständig och en växande nämnare kan mekaniskt sänka den observerade andelen.

Hur kohorten byggdes

Metoden är avsiktligt försiktig, och varje steg framgår av rapporten.

1. Källa. 37 månatliga CVRF-dokument från Microsoft Security Response Center, oktober 2023 till oktober 2026, sparade med tidsstämplar och SHA-256-hashvärden.
2. Rensning. Sju rådgivningsrader som inte var CVE:er och 48 uttryckligen avvisade CVE-identifierare uteslöts. Upprepade rader för produktversioner slogs ihop till en post per CVE.
3. Avgränsat omfång. Numrerade Windows-klienter och Windows Server-produkter, plus Office-skrivbordsprogram, med en uttrycklig tillåtelselista över produkter. Summor över alla poster hos Microsoft Security Response Center är inte det huvudsakliga måttet, eftersom de även omfattar Azure Linux, molntjänster och uppströmskomponenter.
4. Ett datum per CVE. Det tidigaste giltiga revideringsdatumet. Rapporten är tydlig med att detta är ett ersättningsmått för offentliggörandet utifrån Microsofts rapportering, inte ett observerat upptäcktsdatum, ett globalt publiceringsdatum eller ett datum för patchinstallation.
5. Ett värde per CVE. Det högsta observerade tillämpliga CVSS v3.x-basvärdet över de sparade revideringarna. Saknade värden utesluts från genomsnittet och dess nämnare, och CVSS v4 och temporala värden blandas inte in.
6. Koppling till utnyttjande. Medlemskap i CISA KEV efter CVE-ID, med katalogversion 2026.10.23.
7. Ofullständiga månader. Fullständiga år löper från oktober till september. Oktober 2026 redovisas för sig och behandlas aldrig som en avslutad månad.

Automatiska kontroller bekräftade de 37 förväntade dokumenten, inga dubblerade CVE- och omfångsnycklar, giltiga värdeintervall och månadsantal som stämmer med kohortens totalsummor. En jämförelse av sex poster med NVD och CVE Services API är en konsistenskontroll, inte en oberoende replikering, och NVD används inte som enda nämnare för poängsatta produkter eftersom dess eftersläpning 2024 och en ändring av berikningspolicyn i april 2026 skapar ett brott i täckningen. Enligt rapporten innehåller det analytiska supplementet tabeller över kohorterna på CVE-nivå och per månad, granskningen av produktomfånget, uteslutna och avvisade poster, releasehändelserna och månadsserierna för programmen, datamängden om åtgärdstider med 17 rader och täckningsfilen, beläggsregistren och ett SHA-256-manifest, med analysskripten inkluderade.

Sex releaseströmmar för program

Paketeringsteam patchar inte efter en enda kalender, så rapporten lägger till en strategiskt utvald panel med sex releaseströmmar: Chrome, Edge, Firefox, Visual Studio Code, Notepad++ och 7-Zip. En releasedag är ett unikt datum då en version publicerades för en app. Under det senaste fullständiga året sträcker sig panelen från 69 releasedagar för Edge, 64 för Chrome och 61 för Visual Studio Code, via 44 för Firefox och 17 för Notepad++, ner till 4 för 7-Zip. Toppmånaderna är mer hektiska än de genomsnitten antyder: Visual Studio Code nådde nio releasedagar under en enda månad.

Under de 36 fullständiga månaderna gav de sex strömmarna 661 appspecifika releasedagar. Panelen är inte ett representativt urval av Windows-programvara, populationerna av CVE:er och releaser skiljer sig åt, och rapporten säger att antalen inte får multipliceras med varandra eller läsas som ett orsakssamband. Releasedagar beskriver tillgänglighet och möjligheter till bevakning, inte obligatoriska distributioner eller paketeringstimmar.

Vad du bör mäta i stället för CVE-antal

Rapporten föreslår följande som ledningsmått, inte som värden som härletts ur CVE-summor.

• Tid till verifierat skydd: från att en tillämplig leverantörsfix finns tillgänglig till bekräftat skydd, inklusive omstarter av webbläsare, omstarter av datorer och omskanningar. Redovisa median och 90:e percentil, plus misslyckade installationer, andel återställningar (rollback) och när undantag löper ut.
• Fördröjning från release till beslut och från release till skydd för varje app och kanal.
• Kvalificeringsinsats: månatliga valda versionsövergångar, centralt byggda artefakter samt median och 90:e percentil för kvalificeringstid.
• Omarbete: andel akuta ändringar, andel misslyckanden och omarbete, och eftersläpningen av misslyckade uppdateringsmekanismer.
• Exponering: åldern på utestående tillämpliga säkerhetsuppdateringar, plus exponerade KEV-instanser och deras ålder, tillgångar som inte längre stöds och eftersläpning efter tjänstens betydelse.

Under allt detta ligger en versionerad inventering, så att en CVE matchas mot de installerade och exponerade tillgångarna innan åtgärdskön växer. Håll CVE-antal åtskilda från enhetsinstanser och distributionsinsats.

Vad studien inte kunde mäta

• Ett genomsnitt för åtgärdstid i hela kohorten. Var och en av de 4 058 CVE:erna i det fullständiga fönstret har en giltig tidsstämpel för revidering, men inget angivet upptäckts- eller releasedatum. Alla 98 265 tillämpliga åtgärdsrader har sentineldatumet från år 0001 med DateSpecified=false. Poster för leverantörsfixar finns för alla 4 058 CVE:er, poster för uttryckliga workarounds för fem och poster för mitigeringar för 66, så det finns noll användbara strukturerade datumpar. Saknade datum är inte noll dagars fördröjning.
• En enda klocka. Daterade fall, till exempel tre intervall mellan privat rapport och release för PHP och NGINX på 61, 71 och 81 dagar, använder olika start- och slutpunkter och redovisas separat, inte sammanslagna till ett genomsnitt.
• Allvarlighetsgrad för varje webbläsar-CVE. Bara 240 av 2 931 Edge-relaterade poster (8,2 %) har ett tillämpligt numeriskt CVSS v3-värde i den här extraktionen, så den gruppens genomsnitt kan inte stå för alla webbläsar-CVE:er.
• Vad administratörerna såg just den dagen. Historiska månadsfiler är föränderliga och värden kan ändras efter det första offentliggörandet. Ögonblicksbilden stöder replikering av studien, inte återskapande av tidigare källtillstånd.

Där EtherApps Forge passar in

Studien utvärderar varken EtherApps Forge eller någon kommersiell produkt, och EfficientEther redovisar sitt intresse av EtherApps Forge i rapporten. Kopplingen är det arbete som siffrorna skapar. När leverantörsreleaser kommer snabbare blir paketeringsfrågan vilka program du paketerar centralt och hur snabbt du kan kvalificera varje ny version. EtherApps Forge fångar Windows-program där de redan körs och bygger signerade MSIX-, MSI-, Intune- och App Attach-paket, vilket är paketeringssidan av den rutinen. Modernisering och migrering av program och modernisering av äldre program täcker de äldre programmen som är svårast att hålla aktuella, och vår tidigare studie av 3 261 automatiserade MSIX-paketeringsfall visar hur vi skiljer paketskapande från belägg för start och test.

Hämta forskningen om Windows-patchning för de fullständiga tabellerna, metoden och de mått som ditt team kan införa.