Patch Tuesday di ottobre, Microsoft corregge oltre 1.400 falle: una zero-day era già sfruttata

19/10/2026 SCIENZA E TECNOLOGIA Condividi Preferisci Informazione.News su Google

Redazione Scienza e Tecnologia   -   Il Patch Tuesday di ottobre 2026 si è chiuso con il pacchetto di correzioni più voluminoso mai distribuito da Microsoft: oltre 1.400 vulnerabilità sistemate in un solo colpo, un dato che supera di gran lunga il precedente record di settembre, quando le falle corrette erano state quasi mille. L'aggiornamento, rilasciato martedì 13 ottobre, ha coinvolto Windows, Office, i servizi destinati alle aziende e gli strumenti di sviluppo, con una settantina di vulnerabilità classificate come critiche.

La falla già usata negli attacchi reali

Il problema più urgente riguarda CVE-2026-96951, una vulnerabilità della Windows Shell che consente di aggirare Mark of the Web, il meccanismo con cui il sistema operativo segnala i file provenienti da Internet prima che l'utente li apra. Secondo le ricostruzioni, l'aggressore deve convincere la vittima ad aprire un file appositamente preparato, ricevuto via email o tramite un servizio di messaggistica: una volta superata la protezione, il contenuto malevolo viene eseguito senza gli avvisi abituali.

La falla ha ricevuto un punteggio di 8,8 su 10 nella scala Cvss e interessa diverse versioni di Windows 10, Windows 11 e Windows Server. Microsoft ha confermato che la vulnerabilità era già stata sfruttata prima della disponibilità della correzione, e la Cisa l'ha inserita nello stesso giorno nel catalogo delle falle effettivamente attaccate. Non si tratta di un episodio isolato: è la terza volta nel corso del 2026 che una falla della Shell di Windows viene sfruttata come zero-day, dopo gli episodi di febbraio e aprile.

Le altre due zero-day e i problemi critici per le aziende

Nel pacchetto figurano altre due vulnerabilità zero-day, entrambe divulgate pubblicamente prima che la patch fosse pronta. La prima, CVE-2026-108398, riguarda.NET Framework e permette a un attaccante con accesso locale di registrare un assembly malevolo facendolo caricare da un processo protetto, aggirando così Windows Defender Application Control, lo strumento con cui le organizzazioni stabiliscono quali applicazioni possono essere eseguite. La scoperta è attribuita a James Forshaw del team Google Project Zero.

La seconda, CVE-2026-92707, interessa la libreria MessagePack-CSharp e apre la strada a un attacco di negazione del servizio tramite un'allocazione di memoria non controllata. Sul fronte delle infrastrutture aziendali, la tornata di ottobre corregge anche falle critiche in Exchange Server, sfruttabili attraverso un'email malevola, e in Active Directory Domain Services, dove un pacchetto di rete costruito ad hoc può portare all'esecuzione di codice.

Particolare attenzione meritano cinque vulnerabilità di Outlook con punteggio 9,8, due delle quali possono essere attivate già nel pannello di anteprima della posta, senza che il destinatario apra l'allegato o clicchi su un link.

Dietro il record, il ruolo dell'intelligenza artificiale

Il balzo nel numero di correzioni non passa inosservato agli analisti, che lo collegano a un impiego più intenso di modelli linguistici e sistemi automatizzati nell'analisi del codice. Microsoft ha spiegato che il laboratorio interno Forge, tra maggio e settembre 2026, ha contribuito a individuare 140 vulnerabilità di Windows grazie a un sistema che coordina modelli di intelligenza artificiale e strumenti di analisi.

La conseguenza pratica è un carico di lavoro inedito per i reparti IT, chiamati a testare e distribuire centinaia di aggiornamenti senza perdere di vista le falle che rappresentano il rischio concreto. Tyler Reguly di Fortra ha osservato che nel 2026 solo 26 vulnerabilità Microsoft sono finite nel catalogo Cisa delle falle sfruttate in attacchi reali, un dato che invita a distinguere il volume delle patch dal livello effettivo di pericolo.

Le conseguenze collaterali dell'aggiornamento

L'installazione delle patch di ottobre porta con sé anche un effetto collaterale segnalato da Microsoft: l'aggiornamento impone per impostazione predefinita il blocco delle autenticazioni basate su NTLMv1, un protocollo legacy che molte reti aziendali continuano a usare per le connessioni Wi-Fi, Ethernet e VPN.

Sui sistemi in cui Credential Guard non è attivo e la chiave di registro BlockNtlmSso non è impostata in modalità Audit, le richieste di Single Sign-On derivate da NTLMv1 vengono ora rifiutate, con il rischio di impedire l'accesso a reti aziendali configurate con MS-CHAPv2. Gli amministratori possono ripristinare temporaneamente il vecchio comportamento impostando la chiave a zero, ma Microsoft avverte che si tratta di un'eccezione di sicurezza da circoscrivere nel tempo, in attesa di completare la migrazione verso sistemi di autenticazione più moderni.