Il Patch Tuesday di ottobre 2026 stabilisce un nuovo record con 1.415 vulnerabilità corrette da Microsoft, inclusi zero-day attivi. La CISA aggiunge CVE-2026-96951 al suo catalogo KEV, evidenziando l'urgenza di patching.
Il Patch Tuesday di ottobre 2026 ha segnato un nuovo, preoccupante primato per Microsoft, con il rilascio di correzioni per un numero senza precedenti di 1.415 vulnerabilità. Questo dato non solo supera il precedente record di settembre (974 CVE) ma infrange anche il record annuale di 1.261 CVE stabilito nel 2020. L'incremento, pari a circa il 45% rispetto al mese precedente, evidenzia l'impegno di Microsoft nell'affrontare una superficie di attacco in continua espansione, ma pone sfide considerevoli ai team di sicurezza aziendali. Il volume eccezionale di patch copre l'intero ecosistema Microsoft, dai sistemi operativi ai servizi cloud, riflettendo l'efficacia di nuovi strumenti di scansione automatizzati e la pressione costante sui difensori.
La ripartizione delle vulnerabilità corrette offre un quadro più chiaro delle aree maggiormente interessate e della loro gravità. Delle 1.415 CVE rilasciate, 78 sono state classificate come Critiche, 1.336 come Importanti e una come Moderata. Tutte richiedono l'installazione di un aggiornamento. In particolare, 65 delle vulnerabilità critiche consentono l'esecuzione di codice remoto (RCE), mentre le restanti 13 riguardano l'elevazione dei privilegi o lo spoofing.
Analizzando le tipologie di vulnerabilità, l'elevazione dei privilegi guida la classifica con 673 CVE, seguita dall'esecuzione di codice remoto (315), divulgazione di informazioni (252), negazione del servizio (72), bypass delle funzionalità di sicurezza (40), manomissione (29) e spoofing (27). La combinazione di RCE e elevazione dei privilegi è particolarmente pericolosa, poiché consente agli attaccanti di ottenere un accesso iniziale e poi di assumere il controllo completo del sistema.
La maggior parte delle correzioni, 1.102 vulnerabilità, riguarda il sistema operativo Windows, distribuite in 39 aggiornamenti. Altre aree colpite includono: Office (134 vulnerabilità, 11 aggiornamenti), tool per sviluppatori come .NET Framework (61 vulnerabilità, 60 aggiornamenti), SharePoint Server (36 vulnerabilità, 1 aggiornamento), SQL Server (22 vulnerabilità, 8 aggiornamenti), Azure (15 vulnerabilità, 20 aggiornamenti) ed Exchange Server (7 vulnerabilità, 8 aggiornamenti). È interessante notare una discrepanza nei conteggi totali forniti da Microsoft, con le note di rilascio che citano 1.415 CVE, la suddivisione per prodotto che arriva a 1.414, e l'elenco pubblico delle CVE che ne contiene 1.411.
Tra le numerose correzioni, una vulnerabilità è stata identificata come zero-day attivamente sfruttato, indicando che era già nota agli aggressori e potenzialmente utilizzata al momento del rilascio delle patch. La più significativa è CVE‑2026‑96951, una falla nel Windows Shell classificata come Importante (CVSS 8.8). Questa vulnerabilità permette agli attaccanti di aggirare il meccanismo Mark of the Web (MOTW), facendo sì che file potenzialmente dannosi, scaricati via email o chat, vengano eseguiti senza le consuete avvertenze di sicurezza come SmartScreen o Office Protected View. Sebbene richieda ancora l'interazione dell'utente per l'apertura del file, la sua efficacia in combinazione con attacchi di phishing la rende una priorità assoluta per il patching. Si tratta della terza vulnerabilità di Windows Shell sfruttata attivamente nel 2026, un dato in aumento rispetto agli anni precedenti.
La U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha prontamente aggiunto la CVE‑2026‑96951 al suo catalogo Known Exploited Vulnerabilities (KEV), ordinando alle agenzie federali di porvi rimedio entro il 16 ottobre 2026. Questo inserimento sottolinea la gravità della minaccia, poiché le agenzie governative sono obbligate a mitigare tali vulnerabilità per proteggere le proprie reti. Anche le organizzazioni private sono fortemente incoraggiate a rivedere il catalogo KEV e ad affrontare le vulnerabilità identificate nella loro infrastruttura.
La seconda vulnerabilità zero-day menzionata nell'articolo originale, CVE‑2026‑108398, riguardante il .NET Framework, è stata pubblicamente divulgata ma non risulta attivamente sfruttata. Permette a un attaccante autenticato di bypassare il controllo delle applicazioni di Windows Defender e di eseguire codice all'interno di un processo protetto. Anche questa è classificata come Importante, sottolineando come lo stato di sfruttamento attivo possa essere un indicatore di rischio più rilevante della sola etichetta di gravità.
Oltre agli zero-day, il bollettino di sicurezza include diverse altre vulnerabilità ad alto impatto che richiedono attenzione immediata:
Parallelamente al rilascio delle patch, Microsoft ha annunciato la cessazione degli aggiornamenti di sicurezza per Windows 11 24H2 Home e Pro e per Windows 10 Enterprise LTSB 2016. Le organizzazioni che utilizzano queste versioni non riceveranno più patch di sicurezza, aumentando significativamente il loro rischio di esposizione a nuove minacce. È fondamentale pianificare la migrazione verso versioni supportate, come Windows 11 26H2, per mantenere un livello di sicurezza adeguato.
Con oltre mille vulnerabilità da valutare, gli esperti di sicurezza sottolineano l'importanza di una strategia basata sul rischio. Come evidenziato da Dustin Childs di TrendAI’s Zero Day Initiative, il semplice conteggio delle vulnerabilità è insufficiente. È cruciale identificare quali falle sono presenti nella lista CISA KEV (Known Exploited Vulnerabilities). Nel 2026, 26 CVE Microsoft sono state aggiunte a questa lista, un dato che, sebbene inferiore all'anno precedente (con 15 zero-day Microsoft tra gennaio e ottobre 2026 contro 17 nello stesso periodo del 2023), indica un rischio concreto. Childs suggerisce di trattare le vulnerabilità come un catalogo di contenuti da cui estrarre ciò che è rilevante per l'organizzazione, ignorando il resto come "rumore di fondo". Questo approccio è particolarmente efficace considerando che meno dell'1% delle vulnerabilità Microsoft dell'anno corrente sono note per essere sfruttate attivamente. Microsoft ha introdotto "risk cohorts" per aiutare i clienti a guidare gli sforzi di prioritizzazione, raggruppando vulnerabilità che richiedono valutazioni simili.
Microsoft ha indicato che sistemi di scansione automatizzati potenziati dall'intelligenza artificiale hanno giocato un ruolo nella scoperta di una parte significativa delle vulnerabilità corrette. Sebbene l'entità esatta dell'impatto dell'AI non sia chiara, la tendenza è verso strumenti di analisi automatica che accelerano il ciclo di scoperta e correzione delle falle. L'AI, tuttavia, non crea le vulnerabilità ma ne accorcia il tempo tra l'esistenza e la scoperta. Il volume delle CVE non è più la vera notizia, ma piuttosto la velocità con cui vengono scoperte rispetto allo sfruttamento. È indispensabile integrare la Threat Intelligence con le scansioni interne per filtrare le minacce più pericolose e ottimizzare le risorse di risposta.
Di fronte a questo massiccio aggiornamento, le organizzazioni dovrebbero adottare le seguenti best practice:
Il Patch Tuesday di ottobre 2026 segna un nuovo record per Microsoft, con oltre mille vulnerabilità corrette, inclusi zero-day attivi e la fine del supporto per versioni legacy. Questo scenario impone una risposta rapida e mirata. Le organizzazioni devono combinare automazione, intelligence e una rigorosa valutazione del rischio per gestire efficacemente questo flusso di correzioni e proteggere le proprie infrastrutture dalle minacce emergenti, concentrandosi sullo sfruttamento attivo piuttosto che sul mero conteggio delle falle.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
