Patch Tuesday novembre 2026: falla zero-day in Outlook e vulnerabilità critiche in Windows

Microsoft ha pubblicato gli aggiornamenti di sicurezza del Patch Tuesday di novembre 2026, intervenendo su oltre mille vulnerabilità che interessano Windows, Office, Exchange Server, Active Directory e numerosi altri componenti software. La quantità di correzioni è notevole (anche se adesso non sorprende più vista la tendenza degli ultimi mesi…), ma il dato più importante riguarda una falla di Microsoft Outlook già sfruttata negli attacchi informatici per sottrarre informazioni di autenticazione.

Tra gli altri problemi emergono vulnerabilità che possono consentire l’esecuzione di codice da remoto (RCE) in componenti fondamentali di Windows e nei servizi utilizzati dalle reti aziendali. Alcune non richiedono che l’attaccante disponga già di privilegi elevati.

I ricercatori di Cisco Talos e SANS Internet Storm Center hanno evidenziato le falle che meritano maggiore attenzione. I conteggi complessivi differiscono a seconda dei prodotti e degli aggiornamenti inclusi: Cisco Talos riporta 1.095 vulnerabilità, di cui 64 critiche, mentre SANS ne considera 1.260, con 68 critiche.

Outlook sotto attacco: la vulnerabilità zero-day CVE-2026-124194

La vulnerabilità più urgente è CVE-2026-124194, una falla di spoofing in Outlook con punteggio CVSS 6,5. Sebbene Microsoft la classifichi con gravità moderata, la stessa azienda ha confermato che qualcuno la sta già sfruttando.

Nel caso specifico, un aggressore può predisporre un file malevolo, integrarlo nell’email e indurre la vittima ad aprirlo. In tali condizioni, Outlook può stabilire una connessione verso una risorsa di rete controllata dall’attaccante senza mostrare il consueto avvertimento relativo ai contenuti esterni.

Il rischio principale consiste nella divulgazione di informazioni di autenticazione NTLM: durante il tentativo di accesso alla risorsa remota, Windows può trasmettere una risposta crittografica NTLMv2, che l’aggressore potrebbe acquisire e utilizzare per ulteriori attacchi, compresi tentativi di recupero della password o di abuso dell’autenticazione.

Non si tratta quindi di una falla che consente di eseguire programmi sul computer della vittima, almeno non in automatico. Il pericolo riguarda soprattutto la possibile compromissione delle credenziali, particolarmente rilevante nelle reti aziendali. L’attacco richiede l’interazione dell’utente e connettività di rete.

Windows LDAP e Active Directory: rischi per i server aziendali

Un’altra vulnerabilità particolarmente importante è CVE-2026-119958, che interessa il protocollo LDAP utilizzato per interrogare e gestire servizi di directory, tra cui Active Directory.

La falla, classificata critica e con punteggio CVSS 9,8, può consentire l’esecuzione di codice da remoto: è particolarmente delicata perché riguarda un componente fondamentale per l’autenticazione e la gestione centralizzata degli utenti nelle reti Windows.

Active Directory Domain Services presenta inoltre due ulteriori vulnerabilità: CVE-2026-118146, che può permettere l’esecuzione di codice remoto (CVSS 8,8) e CVE-2026-118148, legata all’elevazione dei privilegi (CVSS 7,5). Microsoft considera più probabile lo sfruttamento di queste ultime due falle, anche se non risultano attacchi confermati.

Exchange Server, Schannel e rete Windows: le altre patch da installare

Tra gli aggiornamenti prioritari figura CVE-2026-118207, una vulnerabilità RCE in Microsoft Exchange Server con punteggio CVSS 8,8.

Il problema interessa il software di posta aziendale e merita attenzione soprattutto nelle installazioni Exchange locali, dove la gestione degli aggiornamenti dipende dagli amministratori.

Un’altra falla significativa, CVE-2026-119952, coinvolge Windows Schannel, componente che implementa protocolli crittografici come TLS. Anche in questo caso si tratta di un problema di esecuzione di codice remoto, con punteggio CVSS 8,1 e probabilità di sfruttamento considerata relativamente elevata da Microsoft.

Da non trascurare CVE-2026-113859, che interessa lo stack TCP/IP di Windows e può consentire l’esecuzione di codice remoto. Il suo punteggio CVSS è 7,5: un valore inferiore rispetto ad altre falle del mese, ma che non giustifica automaticamente una priorità ridotta.

Infine, gli aggiornamenti correggono diverse vulnerabilità critiche in Windows Message Queuing (MSMQ), una funzionalità di Windows che permette alle applicazioni di comunicare scambiandosi messaggi, anche quando non sono attive contemporaneamente. Le falle interessano soprattutto i server aziendali sui quali MSMQ è abilitato e potrebbero consentire a un aggressore di eseguire codice da remoto.

Patch Tuesday di novembre 2026: aggiornare subito o aspettare qualche giorno?

Installare immediatamente ogni aggiornamento non è sempre la scelta migliore. Le patch di sicurezza possono introdurre problemi di compatibilità, malfunzionamenti o regressioni, soprattutto sui sistemi che utilizzano software e configurazioni particolari. Per un PC domestico, non esposto direttamente su Internet e utilizzato per attività ordinarie, può essere ragionevole attendere qualche giorno, verificando che non emergano problemi significativi dopo la distribuzione degli aggiornamenti.

Quando una vulnerabilità risulta già sfruttata in attacchi, come nel caso della falla di Outlook, la tempestività diventa fondamentale. Chi utilizza il client di posta Microsoft dovrebbe quindi controllare la disponibilità degli aggiornamenti di Office o Microsoft 365, senza presumere che il solo aggiornamento di Windows sia sufficiente.

Per i professionisti e le piccole imprese, il consiglio è verificare quali applicazioni e servizi Microsoft siano effettivamente utilizzati e programmare l’installazione delle patch evitando, quando possibile, di interrompere le attività lavorative. Particolare attenzione merita la protezione delle credenziali aziendali, anche alla luce della vulnerabilità che interessa l’autenticazione NTLM.

Nelle infrastrutture aziendali più articolate, gli amministratori devono individuare i componenti vulnerabili effettivamente presenti, verificare quali servizi siano raggiungibili dalla rete e dare precedenza ai sistemi più esposti: controller di dominio, server Exchange e macchine che utilizzano funzionalità come LDAP o MSMQ. È importante testare gli aggiornamenti su un gruppo limitato di sistemi prima di distribuirli su larga scala, riducendo al minimo i tempi di intervento sulle vulnerabilità più pericolose.

Il criterio è distinguere le patch che possono attendere qualche giorno da quelle per cui il ritardo rappresenta un rischio concreto. Una vulnerabilità già sfruttata o accessibile attraverso un servizio esposto può giustificare un aggiornamento immediato, mentre per le correzioni meno urgenti è possibile adottare una distribuzione graduale, monitorando nel frattempo eventuali problemi segnalati da Microsoft e dagli altri utenti.