Patch Tuesday Microsoft settembre corregge 973 falle: due zero-day sono già sotto attacco

Il Patch Tuesday di settembre 2026 non è un aggiornamento mensile come gli altri. Microsoft ha distribuito correzioni relative a 973 vulnerabilità, delle quali 113 classificate come critiche: un numero che supera nettamente il precedente primato di 664 registrato a luglio. La quantità colpisce, ma per chi deve proteggere workstation e server il dato davvero importante è un altro: due falle risultano già sfruttate in attacchi reali e diverse vulnerabilità consentono l’esecuzione di codice da remoto senza autenticazione.

Il dato delle 973 vulnerabilità non implica che un singolo sistema Windows presenti quasi mille falle immediatamente sfruttabili. Il nutrito catalogo di falle corrette comprende prodotti, componenti e servizi differenti, con condizioni di attacco molto diverse. Il SANS ISC indica come priorità due vulnerabilità di elevazione dei privilegi già sfruttate, CVE-2026-81963 e CVE-2026-85880, seguite da tre problemi particolarmente pericolosi in Skype for Business Server, Message Queuing e Routing and Remote Access Service.

Le due vulnerabilità zero-day già sfruttate negli attacchi

Microsoft considera CVE-2026-81963 una vulnerabilità importante che colpisce il Windows Update Stack e deriva da una gestione non corretta dei collegamenti prima dell’accesso a un file. Un aggressore locale autenticato e già in possesso di privilegi limitati può interferire con il modo in cui un componente privilegiato individua il file sul quale deve operare, ottenendo alla fine privilegi SYSTEM.

Windows utilizza diversi tipi di collegamenti e reindirizzamenti a livello di file system. Quando un processo con privilegi elevati accede a un percorso che un utente meno privilegiato riesce a influenzare, diventa essenziale verificare che il file finale sia realmente quello previsto. Non corrisponde al vero che qualunque collegamento simbolico permetta di compromettere Windows: serve la precisa sequenza vulnerabile individuata nello stack di Windows Update. Il risultato, però, è rilevante perché porta fino all’acquisizione dei diritti SYSTEM.

La falla interessa varie versioni supportate di Windows 11 e Windows Server 2025, comprese le installazioni Server Core indicate da Microsoft.

La seconda zero-day, CVE-2026-85880, interessa Windows Advanced Local Procedure Call, o ALPC: si tratta di una delle infrastrutture che Windows usa per le comunicazioni locali tra processi e servizi. L’aspetto interessante della falla di sicurezza in questione è la possibilità di trasformare una posizione inizialmente confinata in un ambiente AppContainer nell’acquisizione dei privilegi SYSTEM.

Skype for Business Server: una RCE senza autenticazione

Tra le vulnerabilità non indicate come già sfruttate spicca CVE-2026-66302, problema critico in Skype for Business Server con punteggio CVSS 9,8.

La falla ha a che vedere con il controllo esterno di un nome o di un percorso di file. Secondo le informazioni pubblicate da Microsoft e riprese da SANS ISC, un aggressore non autenticato può inviare una richiesta di rete appositamente costruita e indurre il server a scrivere un file controllato dall’attaccante in una posizione arbitraria. La possibilità di scegliere sia il contenuto sia la destinazione del file crea le condizioni per arrivare all’esecuzione di codice sul sistema oggetto di aggressione.

È una combinazione particolarmente scomoda: attacco remoto, nessuna autenticazione richiesta e nessuna interazione dell’utente.

Un’installazione Skype for Business esposta o raggiungibile da reti non completamente fidate merita quindi un trattamento prioritario: per gli amministratori non basta verificare la presenza della patch; conviene controllare anche eventuali scritture anomale nel file system, nuovi file collocati in directory utilizzate dai servizi e attività inattese dei processi server.

MSMQ e CVE-2026-69579: attenzione alla porta TCP 1801

Un’altra falla da prendere molto sul serio è CVE-2026-69579, vulnerabilità critica nel componente Windows Message Queuing, noto anche come MSMQ.

Microsoft assegna anche in questo caso un CVSS di 9,8 e identifica un problema di tipo use-after-free: il software continua a utilizzare una regione di memoria dopo che quella memoria è stata liberata, condizione che può portare alla corruzione dello stato interno e, in determinate circostanze, all’esecuzione di codice controllato dall’attaccante.

Il vettore di attacco è remoto: un aggressore non autenticato può inviare un pacchetto appositamente costruito al servizio MSMQ vulnerabile; non serve alcuna azione da parte dell’utente.

MSMQ esiste da molti anni ed è ancora utilizzato da applicazioni aziendali che hanno bisogno di scambiare messaggi in modo asincrono e affidabile, soprattutto in installazioni Windows Server e con software legacy.

Non bisogna però presumere che MSMQ sia attivo su ogni computer Windows. Prima ancora della distribuzione dell’aggiornamento, un amministratore può verificare quali sistemi abbiano effettivamente il componente installato e quali espongano il servizio verso segmenti di rete non necessari. Il traffico MSMQ usa tra l’altro la porta TCP 1801: limitarne la raggiungibilità tramite firewall e segmentazione riduce sensibilmente la superficie d’attacco.

RRAS: un’altra vulnerabilità critica sfruttabile via rete

CVE-2026-69590 riguarda invece Routing and Remote Access Service, RRAS, il componente Windows Server impiegato per funzioni quali routing, accesso remoto e servizi VPN. Anche qui Microsoft assegna un CVSS pari a 9,8 e descrive un heap-based buffer overflow sfruttabile attraverso la rete.

Un aggressore remoto non autenticato può inviare un pacchetto costruito ad hoc a un servizio RRAS vulnerabile e arrivare all’esecuzione di codice senza richiedere interazione da parte dell’utente. Il problema interessa numerose generazioni di Windows e Windows Server, comprese versioni server ancora diffuse nelle aziende come Windows Server 2016, 2019, 2022 e 2025.

RRAS merita una verifica specifica perché la semplice presenza di Windows Server non equivale all’esposizione della vulnerabilità nelle stesse condizioni su ogni macchina. Conta il ruolo effettivamente configurato, quali servizi risultano attivi, da dove possono essere raggiunti e quali protocolli sono ammessi attraverso i firewall. Un server RRAS destinato all’accesso remoto, per definizione, può trovarsi in una posizione di rete più delicata rispetto a un server applicativo interno.

Come affrontare il Patch Tuesday di settembre

Per workstation Windows 11 e server aggiornati tramite Windows Update, Windows Server Update Services o piattaforme di gestione equivalenti, gli aggiornamenti mensili sono cumulativi: installando l’ultimo aggiornamento cumulativo disponibile per la versione in uso si acquisiscono anche le correzioni di sicurezza precedenti. Non serve quindi applicare centinaia di patch Windows una per una.

Come accennato in precedenza, non tutte le 973 vulnerabilità rappresentano la stessa minaccia e il record numerico, da solo, racconta solo metà della storia.

La fotografia più utile del Patch Tuesday di settembre è molto più concreta: due falle risultano già sfruttate, mentre alcune vulnerabilità critiche permettono attacchi remoti senza credenziali. Sono quelle che devono guidare l’ordine di intervento: il resto viene subito dopo, sulla base dei prodotti realmente presenti nella rete e della loro esposizione.