Microsoft cambia tutto: 1.413 falle corrette, ma ti dirà quali correggere prima

Microsoft segna un nuovo record correggendo 1.413 vulnerabilità in un solo mese, tra cui tre zero-day e una falla già sfruttata negli attacchi. Con l'intelligenza artificiale che accelera la scoperta dei bug, l'azienda cambia strategia e introduce i gruppi di rischio (risk cohorts) per aiutare le organizzazioni a identificare le vulnerabilità da correggere con maggiore urgenza, senza sostituire la valutazione delle singole falle.

Nell’ambito del “martedì degli aggiornamenti” di ottobre, gli ingegneri di Microsoft hanno corretto un record di 1413 vulnerabilità, tra cui tre problemi zero-day, uno dei quali è già stato utilizzato in attacchi reali. Inoltre, l’azienda ha presentato un nuovo approccio alla prioritizzazione dei patch, progettato per aiutare gli amministratori a gestire un numero così elevato di correzioni.

La maggior parte delle correzioni di questo mese riguarda direttamente Windows – 1102 vulnerabilità. Altri 134 problemi sono stati risolti in Office, 61 negli strumenti per gli sviluppatori, 36 in SharePoint Server e 22 in SQL Server.

Più di 670 bug si sono rivelati legati all’elevazione dei privilegi, oltre 300 permettevano l’esecuzione remota di codice, mentre altri 250 portavano alla divulgazione di informazioni. In totale, circa 70 vulnerabilità hanno ricevuto lo status di critiche.

La principale problematica di questo mese è stata la vulnerabilità zero-day CVE-2026-96951 (8,8 punti sulla scala CVSS), legata all’aggiramento della protezione in Windows Shell. Questo bug permetteva di aggirare il meccanismo Mark of the Web (MotW), che contrassegna i file scaricati da Internet e attiva ulteriori verifiche di sicurezza per essi.

Per sfruttare la vulnerabilità, l’attaccante doveva convincere la vittima ad aprire un file appositamente preparato o a cliccare su un link dannoso.

Microsoft ha dichiarato che la CVE-2026-96951 è già stata utilizzata in attacchi, ma i dettagli su questi incidenti e le informazioni sulle vittime non sono ancora state divulgate.

Ricordiamo che Microsoft classifica come zero-day non solo le vulnerabilità già sfruttate dagli hacker, ma anche i problemi la cui informazione è stata pubblicamente divulgata prima dell’uscita dei patch ufficiali. Gli altri due bug zero-day corretti a ottobre appartenevano proprio a questa categoria.

La prima vulnerabilità zero-day pubblicamente divulgata, CVE-2026-108398 (8,8 punti sulla scala CVSS), riguarda .NET Framework e permetteva a un attaccante autenticato di aggirare i limiti di Windows Defender Application Control (WDAC), eseguendo codice non autorizzato all’interno di un processo protetto.

La seconda vulnerabilità zero-day divulgata, CVE-2026-92707 (5,3 punti sulla scala CVSS), era legata a un errore di allocazione della memoria in MessagePack-CSharp e permetteva di provocare un rifiuto del servizio (DoS).

Inoltre, nel pacchetto di correzioni di ottobre è stato incluso un patch per la vulnerabilità critica CVE-2026-21413 (9,8 punti sulla scala CVSS), che riguardava Raw Image Extension. Il problema permetteva l’esecuzione remota di codice durante l’elaborazione di un’immagine RAW appositamente preparata. Per sfruttare il bug, era sufficiente che Windows generasse una miniatura o un’anteprima del file, quindi non era necessario aprire l’immagine stessa.

La portata del “martedì degli aggiornamenti” di ottobre ha superato il precedente record stabilito il mese scorso, quando Microsoft aveva risolto circa 1000 vulnerabilità nei suoi prodotti.

Ricordiamo che l’aumento del numero di patch è dovuto anche all’uso dell’IA. Infatti, già nell’estate del 2026, i rappresentanti di Microsoft avevano avvertito che gli aggiornamenti mensili sarebbero diventati sempre più numerosi, a causa dell’integrazione dell’IA nei processi di ricerca e analisi delle vulnerabilità. Si noti che, complessivamente, nel 2026 gli specialisti di Microsoft hanno già risolto più di 4000 vulnerabilità.

Per semplificare la prioritizzazione delle correzioni, il cui numero continua ad aumentare, l’azienda ha presentato un sistema sperimentale di risk cohorts. Il nuovo approccio raggruppa le vulnerabilità in base a gruppi di rischio simili e condizioni di sfruttamento, affinché le organizzazioni possano comprendere meglio quali problemi rappresentano il rischio maggiore e quali devono essere risolti per primi.

Ad ottobre, gli ingegneri dell’azienda hanno formato 15 di questi gruppi:

• 136 vulnerabilità nei sistemi di file Windows, sottosistemi di archiviazione dei dati e backup;
• 135 problemi legati ai documenti Office e ai client di posta elettronica;
• 131 vulnerabilità nei componenti di Windows per l’elaborazione di grafica, multimediali e altri contenuti;
• 109 problemi legati alla suddivisione dei privilegi nel kernel e nei componenti principali di Windows;
• 103 vulnerabilità nei servizi di installazione, distribuzione e aggiornamento di Windows.

Microsoft sottolinea che l’appartenenza di un bug a un gruppo specifico non indica di per sé la sua pericolosità. Il rischio reale dipende dalla gravità della vulnerabilità, dal suo sfruttamento in attacchi e dalle caratteristiche dell’infrastruttura di una specifica organizzazione. Pertanto, l’azienda osserva che il nuovo approccio non sostituisce la valutazione individuale delle CVE e le raccomandazioni esistenti per l’installazione dei patch.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response