Microsoft Patch Tuesday di settembre: 81 vulnerabilità e 2 0day attivi

Il recente aggiornamento di sicurezza Patch Tuesday di settembre, ha visto Microsoft rilasciare una serie completa di update, andando a risolvere un totale di 81 vulnerabilità presenti all’interno dei propri prodotti e servizi.

In particolare, ben 9 di queste vulnerabilità sono state classificate come critiche, con 2 di esse segnalate come zero-day, ovvero già note e sfruttate prima della pubblicazione delle correzioni.

Queste ultime hanno destato particolare attenzione tra gli esperti del settore, in quanto sfruttate o descritte minuziosamente ancor prima della distribuzione delle soluzioni di sicurezza.

La prima vulnerabilità, identificata come CVE-2025-55234, riguarda il server SMB. Consente agli aggressori di eseguire attacchi relay e ottenere l’escalation dei privilegi. Microsoft sottolinea che il sistema stesso dispone già di meccanismi di protezione, ovvero SMB Server Signing e Extended Protection for Authentication, ma abilitarli potrebbe causare problemi di compatibilità con i dispositivi meno recenti. Pertanto, gli amministratori dovrebbero abilitare l’audit e verificare attentamente le configurazioni prima di passare a policy rigorose.

Il secondo problema, CVE-2024-21907 , è correlato alla libreria Newtonsoft.Json utilizzata in SQL Server. Durante l’elaborazione di dati appositamente preparati tramite il metodo JsonConvert.DeserializeObject, si verifica uno stack overflow , che può portare a un Denial of Service. Il bug è stato divulgato già nel 2024, ma solo ora è stato incluso nel pacchetto di patch ufficiale di Microsoft.

Oltre a questi due, la versione di settembre corregge decine di altri bug critici e importanti. In Microsoft Office, sono state corrette diverse vulnerabilità in Excel, PowerPoint, Visio e SharePoint che consentivano l’esecuzione di codice arbitrario all’apertura di documenti dannosi. Per Windows, sono state chiuse falle nel componente grafico, nel sottosistema Hyper-V e in NTLM, quest’ultimo particolarmente pericoloso, in quanto poteva essere utilizzato per compromettere le credenziali nell’infrastruttura di dominio. Sono stati inoltre corretti errori in BitLocker e LSASS che consentivano l’escalation dei privilegi, e bug nei servizi Defender Firewall, Bluetooth e Dispositivi Connessi.

Tra le altre cose, vale la pena sottolineare una vulnerabilità in Windows NTFS, in cui un attacco potrebbe portare all’esecuzione di codice remoto, nonché bug critici nei driver DirectX e nei componenti Win32K. Questi errori consentono potenzialmente di aggirare le difese del kernel ed eseguire istruzioni dannose a livello di sistema.

Microsoft sottolinea inoltre che questo ciclo di aggiornamento ha ampliato le funzionalità di auditing dei client SMB. Ciò è necessario affinché gli amministratori possano valutare in anticipo la compatibilità quando passeranno a nuove policy di sicurezza che diventeranno obbligatorie in futuro.

Microsoft non è stata l’unica azienda a correggere falle critiche a settembre. Adobe ha chiuso la vulnerabilità SessionReaper in Magento, che consentiva agli utenti di intercettare le sessioni. Google ha rilasciato la patch Android di settembre, che ha corretto 84 bug, inclusi due attivamente sfruttati in attacchi reali. SAP ha corretto una vulnerabilità di massima gravità in NetWeaver, che consentiva l’esecuzione di comandi con privilegi di sistema. TP-Link ha riconosciuto una falla in diversi router domestici, ancora in fase di studio, ma l’azienda sta già preparando le patch per gli utenti americani. Cisco ha aggiornato WebEx, ASA e altri prodotti di rete, eliminando i rischi di accesso remoto e perdite di dati.

Il Patch Tuesday di settembre è stato uno dei più intensi dell’anno. Due vulnerabilità zero-day divulgate pubblicamente in SMB e SQL Server evidenziano la necessità di installare gli aggiornamenti il più rapidamente possibile, mentre un lungo elenco di vulnerabilità in Windows e Office dimostra che gli aggressori possono utilizzare una varietà di vettori per compromettere l’infrastruttura aziendale. Amministratori e professionisti della sicurezza dovrebbero verificare immediatamente la pertinenza delle patch installate e sottoporre a un attento.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks