Windows corregge 1.411 falle in un colpo: è il Patch Tuesday più grande di sempre

Il Patch Tuesday di ottobre 2026 segna un record per Microsoft: con gli aggiornamenti di sicurezza distribuiti il 13 ottobre, l’azienda interviene su ben 1.411 vulnerabilità che interessano Windows, componenti del sistema operativo, applicazioni e tecnologie destinate agli ambienti aziendali. Tra l’enorme numero di problemi di sicurezza corretti figurano tre vulnerabilità zero-day, una delle quali già sfruttata in attacchi reali, mentre altre due erano note pubblicamente prima della disponibilità delle rispettive patch.

Microsoft classifica 70 vulnerabilità come critiche: di queste, 57 possono consentire l’esecuzione di codice da remoto (RCE), 11 riguardano l’elevazione dei privilegi e due permettono di falsificare identità o informazioni, a seconda del componente interessato.

Una falla che permette di ottenere privilegi elevati, superiori a quelli inizialmente disponibili non rappresenta necessariamente il punto d’ingresso di un attacco. Può però diventare decisiva dopo una prima compromissione, ad esempio quando un aggressore riesce a eseguire codice con i privilegi di un normale utente e cerca successivamente di raggiungere il livello SYSTEM o di ottenere il controllo di servizi privilegiati.

Un problema RCE, invece, può consentire l’esecuzione di istruzioni attraverso un’applicazione o un servizio vulnerabile, ma non implica automaticamente che l’attaccante possa operare senza autenticazione. Per stabilire il rischio effettivo bisogna conoscere il vettore d’attacco, i privilegi richiesti, le eventuali interazioni necessarie e la raggiungibilità del componente.

CVE-2026-96951: la falla zero-day di Windows Shell già sfruttata negli attacchi

Il problema più urgente del mese riguarda la falla alla quale è assegnato l’identificativo CVE-2026-96951, una vulnerabilità di Windows Shell che consente di aggirare una funzionalità di sicurezza e che Microsoft segnala come già sfruttata attivamente.

Secondo il bollettino ufficiale Microsoft Security Response Center, il difetto deriva da una gestione impropria di elementi speciali utilizzati all’interno di un comando, una condizione riconducibile alla categoria delle command injection.

Un aggressore può sfruttare l’anomalia per superare la protezione del Mark of the Web (MotW), il meccanismo con cui Windows identifica i file provenienti da origini considerate non attendibili, come i download da Internet. Windows e alcuni programmi Microsoft possono servirsene per applicare restrizioni, avvisi o modalità di apertura più prudenti.

Una vulnerabilità capace di aggirare le verifiche alla base del MotW può quindi ridurre l’efficacia di uno dei controlli utilizzati per separare contenuti attendibili da file di provenienza esterna.

CVE-2026-108398: quando una libreria .NET permette di aggirare WDAC

La seconda vulnerabilità zero-day, CVE-2026-108398, riguarda .NET Framework ed è particolarmente interessante per chi gestisce postazioni Windows sottoposte a restrizioni sull’esecuzione del software.

Il problema deriva da un untrusted search path, ossia una ricerca di componenti software in percorsi che possono contenere file non affidabili. In determinate condizioni, un aggressore già autenticato sul sistema può predisporre un assembly .NET appositamente costruito e registrarlo affinché un processo protetto lo carichi.

Se lo sfruttamento riesce, diventa possibile aggirare i vincoli imposti da Windows Defender Application Control (WDAC), la tecnologia utilizzata per stabilire quali applicazioni, librerie e componenti possano essere eseguiti su un dispositivo.

Il difetto corretto a ottobre evidenzia una criticità tipica delle applicazioni che caricano moduli dinamici: non basta proteggere l’eseguibile principale, occorre verificare anche come il programma individua e carica le proprie dipendenze. Una ricerca delle risorse all’interno di percorsi controllabili da utenti con privilegi inferiori può trasformarsi in un punto debole, perché il processo legittimo rischia di caricare codice scelto dall’aggressore.

La scoperta porta la firma di James Forshaw, ricercatore di Google Project Zero: il relativo avviso MSRC permette di verificare i prodotti interessati e gli aggiornamenti necessari.

CVE-2026-92707: un attacco può interrompere i servizi usati dai programmi .NET

La terza vulnerabilità zero-day del mese, CVE-2026-92707, riguarda MessagePack-CSharp, una libreria utilizzata nelle applicazioni .NET per convertire dati e oggetti in una rappresentazione binaria compatta, adatta alla trasmissione attraverso la rete o alla memorizzazione su disco. La libreria permette anche l’operazione inversa: ricostruire i dati originali a partire dalle informazioni codificate. Il formato MessagePack svolge quindi una funzione simile a JSON, ma utilizza una codifica binaria anziché testuale, con l’obiettivo di ridurre la quantità di dati da trasferire e velocizzarne l’elaborazione.

Il problema individuato riguarda la gestione delle allocazioni di memoria. Microsoft descrive una condizione di allocazione sequenziale non adeguatamente controllata che può permettere a un aggressore non autorizzato di provocare un Denial of Service (Dos) attraverso la rete.

Un’applicazione che elabora dati non attendibili potrebbe consumare risorse in maniera anomala, fino a perdere la capacità di rispondere regolarmente alle richieste. Un attacco di questo tipo non implica necessariamente l’esecuzione di codice arbitrario e non equivale al furto di dati: l’obiettivo è compromettere la disponibilità del servizio.

Un servizio applicativo erogato lato server che gestisce richieste da molti client può subire conseguenze significative anche da una vulnerabilità classificata con gravità moderata, qualora il componente esposto consenta di raggiungere il codice difettoso.

Perché Microsoft corregge oltre 1.400 vulnerabilità in un mese? Il ruolo dell’intelligenza artificiale

Non ci sono elementi sufficienti per attribuire l’aumento verticale del numero di patch rilasciato (e quindi di vulnerabilità corrette) a una sola causa. L’azienda, però, aveva anticipato a luglio 2026 che l’adozione dell’intelligenza artificiale nelle attività di sicurezza avrebbe potuto far crescere sensibilmente il numero delle vulnerabilità identificate e corrette.

Uno degli strumenti citati è MDASH, acronimo di Microsoft Security’s Multi-model Agentic Scanning Harness, un sistema che utilizza più modelli di intelligenza artificiale per individuare potenziali difetti di sicurezza nei componenti software.

Il meccanismo non consiste semplicemente nel chiedere a un modello linguistico di leggere del codice e segnalare qualcosa di sospetto. Microsoft descrive un processo di analisi che comprende l’esame di binari critici di Windows, la valutazione dei possibili problemi attraverso più modelli e ulteriori verifiche specifiche per ridurre i falsi positivi.

Il vantaggio è evidente: individuare un problema prima che qualcuno lo trasformi in un attacco. D’altra parte, una maggiore capacità di scoperta produce più segnalazioni da analizzare, più patch da collaudare e un volume crescente di informazioni da gestire.

Microsoft introduce il concetto di risk cohorts: gestire centinaia di CVE senza perdere di vista i rischi reali

Con una distribuzione che comprende oltre un migliaio di vulnerabilità, valutare manualmente ogni segnalazione può diventare un lavoro enorme, soprattutto per le aziende con migliaia di PC, server e applicazioni.

Per affrontare il problema, Microsoft ha presentato risk cohorts, gruppi di vulnerabilità organizzati in base alle domande che gli amministratori devono porsi per valutare l’esposizione dei propri sistemi. Invece di limitarsi a raggruppare falle con lo stesso punteggio CVSS, Microsoft cerca di mettere insieme vulnerabilità che richiedono verifiche simili sulle configurazioni, sui componenti installati e sulle possibilità di attacco.

Nel documento pubblicato il 13 ottobre compaiono 15 gruppi sperimentali: tra quelli più numerosi figurano 136 vulnerabilità relative a file system, storage e backup di Windows; 135 associate ai documenti Office e ai client di posta; 131 riguardanti grafica, contenuti multimediali ed elaborazione dei file; 109 legate ai confini dei privilegi lato kernel e dei componenti principali di Windows; 103 collegate a installazione, distribuzione e aggiornamento del sistema.

Redmond cita anche raggruppamenti relativi a Desktop Remoto, autenticazione, protocolli di rete, DNS, DHCP, virtualizzazione, servizi directory e condivisioni di rete.

Se un server di Desktop Remoto è accessibile dall’esterno, le vulnerabilità che interessano quel ruolo possono richiedere un intervento urgente. Se invece una postazione utilizza soltanto il client RDP per collegarsi a sistemi remoti, la valutazione cambia: diventa importante considerare il rischio derivante da server compromessi o non attendibili ai quali gli utenti potrebbero connettersi.