Il patch day di aprile 2026 mette in ginocchio Microsoft: 165 cve, due zero-day già sotto attacco

17/04/2026 SCIENZA E TECNOLOGIA Preferisci Informazione.News su Google

Redazione Scienza e Tecnologia   -   Non bastavano le consuete incombenze della gestione informatica aziendale, ecco che il secondo martedì di aprile si trasforma in un incubo per chi amministra reti Windows. Il Patch Tuesday di quest’anno, che pure arriva a oltre un anno dalla nuova presidenza Trump e in un contesto geopolitico ormai stabilizzato, ha assunto i contorni di una vera e propria resa dei conti: il colosso di Redmond ha infatti rilasciato correzioni per 165 vulnerabilità comuni ed esposte (CVE), un numero che, come ammettono senza mezzi termini gli analisti del settore, rappresenta il secondo aggiornamento mensile più massiccio mai realizzato dall’azienda. Solo il ciclo di ottobre 2025, con le sue 175 falle tappate, aveva fatto meglio.

A descrivere la portata dell’operazione è Dustin Childs, analista dello Zero Day Initiative, che non ha esitato a definire questo pacchetto come uno dei più rilevanti della storia recente del software proprietario. Ma non è solo la quantità a fare la differenza: otto di queste vulnerabilità portano il marchio di fuoco “Critical” (critico), mentre 154 sono etichettate come “Important”. Se a questo già impressionante censimento si aggiungono le vulnerabilità legate al motore Chromium – che Microsoft integra ormai stabilmente nei propri browser e in alcune componenti di sistema – il totale delle correzioni supera abbondantemente le 240 unità.

Due zero-day in libertà, una già nelle mani degli attaccanti

Ciò che rende questo aggiornamento inderogabile, e non una semplice raccomandazione, è la presenza di due vulnerabilità zero-day attivamente sfruttate. La prima, catalogata come CVE-2026-32201, risiede in Microsoft Office SharePoint e presenta un punteggio CVSS di 6,5 su 10. Il problema, spiegano i ricercatori di Malwarebytes che hanno contribuito alla divulgazione, è una convalida degli input non corretta: questo difetto consente a un utente malintenzionato non autorizzato di eseguire operazioni di spoofing sulla rete aziendale, dirottando di fatto la fiducia che un utente legittimo ripone in un determinato server o indirizzo. L’altra minaccia, forse ancora più insidiosa, risponde al nome in codice di “RedSun” ed è stata resa nota soltanto venerdì scorso, a ridosso del fine settimana. Questo nuovo exploit zero-day colpisce direttamente Windows Defender e l’API Cloud Files, riuscendo – su sistemi che pure erano stati aggiornati con tutte le patch di sicurezza precedenti – a elevare i privilegi fino a ottenere il controllo completo a livello SYSTEM.

SharePoint e Defender nel mirino: i dettagli tecnici del rischio

La falla su SharePoint, sebbene abbia un punteggio di gravità non massimo (6,5), non va sottovalutata: lo spoofing riuscito permette di aggirare le autenticazioni leggere e di presentare all’utente una pagina contraffatta che sembra provenire da una fonte attendibile. In pratica, un amministratore potrebbe visualizzare un documento condiviso che in realtà è una trappola per carpire credenziali. Più grave, sulla carta, la situazione di RedSun: qui l’attaccante non ha bisogno di indurre l’utente in errore, ma sfrutta una sequenza di chiamate malevoli all’API Cloud Files, che interagisce in modo privilegiato con Defender. Ottenuti i permessi SYSTEM, il malintenzionato può disabilitare la protezione in tempo reale, installare backdoor o cifrare i file senza che l’antivirus possa opporre resistenza.

Un quadro da 167 vulnerabilità totali: l’appello a chi usa Windows 11

Il quadro complessivo delle patch, stando a quanto pubblicato dagli esperti, arriva a coprire 167 vulnerabilità di sicurezza se si conteggiano anche quelle a minore severità. Per l’utente finale, e in particolare per chi ha già migrato a Windows 11, il messaggio è secco: l’aggiornamento rilasciato ieri non è opzionale. Le due zero-day, di cui una – RedSun – risulta già attivamente sfruttata in attacchi mirati, rendono ogni giorno di ritardo una finestra aperta per potenziali intrusioni. Non applicare la patch significa lasciare che un malintenzionato, magari partito da un semplice documento SharePoint infetto, possa prendere il controllo totale del dispositivo scavalcando persino il celebre antivirus integrato. Gli amministratori di sistema farebbero bene a programmare al più presto il reboot dei server che ospitano i servizi di condivisione documentale e, soprattutto, a verificare l’integrità dei log di Windows Defender alla ricerca di tracce dell’exploit RedSun.