Patch Tuesday agosto 2026: Microsoft chiude 418 falle, una è già sfruttata

Il Patch Tuesday di agosto 2026 porta con sé uno dei pacchetti di sicurezza Microsoft più corposi dell’anno. L’analisi pubblicata dal SANS Internet Storm Center (ISC) cataloga 418 vulnerabilità, 62 delle quali classificate come critiche, con una falla già sfruttata in attacchi reali e altre due vulnerabilità rese pubbliche prima della disponibilità delle correzioni. Numeri importanti, ma il dato grezzo racconta solo una parte della storia: per stabilire cosa aggiornare per primo bisogna guardare al tipo di attacco, ai privilegi richiesti e soprattutto alla possibilità di raggiungere il componente vulnerabile dalla rete.

Per un amministratore di sistema, avere a che fare con 418 vulnerabilità non significa certo dover affrontare 418 emergenze della stessa importanza. Una falla locale con elevata complessità di sfruttamento ha un profilo completamente diverso da un buffer overflow raggiungibile attraverso un servizio DNS (se utilizzato, ovviamente).

CVE-2026-68820: la vulnerabilità Windows già sfruttata

La correzione da mettere in cima alla lista riguarda CVE-2026-68820, vulnerabilità nel Windows Ancillary Function Driver for WinSock, o AFD. Microsoft la classifica come importante e, nel complesso, potrebbe sembrare meno urgente di molte falle con punteggio CVSS ben più elevato. C’è però un elemento che cambia completamente la valutazione: Microsoft ha rilevato uno sfruttamento reale.

AFD svolge un ruolo centrale nello stack di rete Windows. Il driver, afd.sys, fornisce l’interfaccia kernel utilizzata dalle implementazioni WinSock per gestire socket e comunicazioni di rete. La vulnerabilità deriva da un errore use-after-free: in determinate condizioni il codice continua a utilizzare un oggetto di memoria dopo che quell’area è stata liberata.

L’attacco richiede l’esecuzione di codice locale e privilegi iniziali ridotti: sfruttando con successo una race condition, l’aggressore può ottenere privilegi SYSTEM. Un malware che riuscisse già a eseguire codice con i diritti di un normale utente può sfruttare la falla come secondo stadio della compromissione e assumere il controllo completo della macchina.

Due falle erano già pubbliche prima del Patch Tuesday

SANS evidenzia inoltre due vulnerabilità pubblicamente note al momento del rilascio degli aggiornamenti. La prima, CVE-2026-62832, interessa Windows User Profile Service: si tratta di un problema di “link following“, cioè una gestione non corretta dei collegamenti durante l’accesso ai file.

L’attaccante deve essere autenticato localmente e avere accesso alle credenziali di un altro account presente sul computer. Attraverso un’applicazione appositamente preparata, può tentare di caricare l’hive del Registro di sistema appartenente a un altro utente e interferire con dati che non dovrebbe poter modificare. Lo sfruttamento riuscito può portare all’acquisizione di privilegi amministrativi senza richiedere un’azione della vittima.

Nella configurazioni con molti account locali, workstation condivise o credenziali riutilizzate, il problema assume un peso maggiore.

L’altra falla resa pubblica prima della correzione è CVE-2026-72971, relativa al filtro Windows Container Isolation FS e in particolare al driver unionfs.sys. Anche qui Microsoft individua un problema di link resolution; un utente locale autenticato può sfruttarlo per alterare file, con un impatto elevato sull’integrità ma senza conseguenze dirette dichiarate su riservatezza e disponibilità.

Microsoft QUIC: una RCE remota con CVSS 9,8

Tra le vulnerabilità non ancora osservate in attacchi reali spicca CVE-2026-62815, una falla a elevata criticità nell’implementazione Microsoft del protocollo QUIC. In questo caso, il punteggio CVSS arriva a 9,8 confermando la gravità del problema di sicurezza. Accesso dalla rete, nessuna autenticazione, nessuna interazione dell’utente e possibilità di eseguire codice sul sistema vulnerabile rappresentano un “mix esplosivo“.

Anche in questo caso la causa è un use-after-free: un aggressore può inviare pacchetti appositamente costruiti a un servizio vulnerabile che utilizza QUIC e provocare l’uso di memoria già liberata, creando le condizioni per l’esecuzione di codice arbitrario.

QUIC, che costituisce anche la base di HTTP/3, è un protocollo di trasporto costruito sopra UDP, progettato per ridurre la latenza nella creazione delle connessioni e integrare direttamente funzioni crittografiche. La presenza del protocollo nel sistema operativo, tuttavia, non significa automaticamente che ogni PC Windows sia raggiungibile attraverso la vulnerabilità: conta quali applicazioni e servizi utilizzano l’implementazione vulnerabile e quali porte risultano effettivamente esposte.

Su server pubblicamente accessibili la questione cambia: se un servizio basato su Microsoft QUIC accetta traffico proveniente da Internet, l’assenza di autenticazione e di interazione dell’utente rende la patch particolarmente importante.

Dove l’aggiornamento immediato non fosse possibile, la misura temporanea più sensata consiste nel ridurre l’esposizione del servizio attraverso firewall e segmentazione di rete, dopo aver verificato quali applicazioni dipendano effettivamente da QUIC.

Windows DNS Server: il buffer overflow che merita attenzione

Ancora più delicata, per molte infrastrutture aziendali, è la falla con l’identificativo CVE-2026-62878. La vulnerabilità interessa Windows DNS Server, raggiunge anch’essa un CVSS di 9,8 e deriva da uno stack-based buffer overflow. Un aggressore non autenticato può inviare un pacchetto opportunamente costruito al servizio DNS e, nelle condizioni previste dalla falla, ottenere l’esecuzione di codice arbitrario.

Il resolver DNS rappresenta un servizio infrastrutturale che spesso rimane costantemente attivo e, nei controller di dominio Windows, può trovarsi molto vicino agli asset più sensibili della rete aziendale. Un errore di gestione della memoria raggiungibile attraverso il traffico DNS assume quindi un peso ben diverso rispetto a una vulnerabilità che richiede l’apertura manuale di un documento.

Cisco Talos segnala che agosto 2026 porta diverse correzioni proprio nell’area DNS. Oltre a CVE-2026-62878 compaiono altre vulnerabilità RCE (remote code execution), tra cui CVE-2026-62817 e CVE-2026-62820, con meccanismi differenti. È un dettaglio da non trascurare: gli amministratori dei server DNS Windows non stanno correggendo un singolo difetto isolato, ma un gruppo di problemi che interessa più percorsi di elaborazione.

La prima difesa resta l’installazione dell’aggiornamento. Dove esistono server DNS raggiungibili dall’esterno conviene anche verificare se tale esposizione sia davvero necessaria.

I resolver interni dovrebbero accettare traffico soltanto dalle reti previste; firewall e ACL possono ridurre drasticamente la superficie raggiungibile. Naturalmente non sono sostituti della patch, perché una macchina compromessa all’interno della rete potrebbe comunque raggiungere il servizio.

Non c’è solo Windows: Office, Exchange, Azure e servizi Microsoft

Concentrarsi sulle cinque CVE evidenziate da SANS non significa ignorare il resto del Patch Tuesday di questo mese.

La lista di agosto coinvolge una quantità molto ampia di prodotti: .NET, Microsoft Office, Excel, Word, Exchange Server, SharePoint, Active Directory, RRAS, HTTP.sys, servizi Azure, Teams, Copilot, componenti grafici e numerosi driver Windows.

Office, in particolare, riceve diverse correzioni per vulnerabilità RCE: Talos ne elenca numerose nel motore grafico e nei componenti della suite, con cause che spaziano dai buffer overflow agli integer overflow, fino agli use-after-free. In diversi casi il punteggio CVSS si ferma a 7,8 perché l’attacco richiede che il contenuto malevolo arrivi sul sistema e sia elaborato secondo condizioni specifiche. Non è però una buona ragione per rinviare gli aggiornamenti sulle postazioni che ricevono abitualmente documenti da sorgenti esterne.

Anche Exchange Server compare nell’elenco dei prodotti software oggetto di aggiornamenti con vulnerabilità di elevazione dei privilegi, Denial of Service, spoofing ed esecuzione di codice da remoto.

Sui server esposti su Internet la regola è ridurre al minimo il tempo tra disponibilità dell’aggiornamento, test e distribuzione. Gli incidenti degli anni passati hanno mostrato quanto rapidamente una vulnerabilità in un prodotto server possa trasformarsi da voce di un bollettino a strumento operativo nelle mani degli attaccanti.