Il secondo martedì di ottobre coincide ogni anno con il Patch Tuesday, il giorno in cui Microsoft rilascia in blocco gli aggiornamenti di sicurezza per Windows e per il resto del proprio ecosistema software. Quello di oggi, 13 ottobre 2026, è il più grande di sempre: 1.411 vulnerabilità corrette in un colpo solo, un numero che supera nettamente il precedente record stabilito appena un mese fa. Tra le falle chiuse c'è anche uno zero-day già sfruttato attivamente in attacchi reali contro gli utenti Windows, il che rende l'aggiornamento di oggi una priorità operativa per chi gestisce reti aziendali e pubbliche amministrazioni, non solo un adempimento di routine.
Un numero senza precedenti: 1.411 falle, 70 critiche
Il conteggio complessivo del Patch Tuesday di ottobre comprende 70 vulnerabilità classificate come critiche: 57 permettono l'esecuzione di codice da remoto (remote code execution), 11 consentono l'elevazione dei privilegi e 2 riguardano lo spoofing. Guardando all'insieme delle correzioni, le categorie più numerose sono l'elevazione dei privilegi (677 falle) e l'esecuzione di codice da remoto (317), seguite da divulgazione di informazioni (254), negazione del servizio (73), bypass di funzionalità di sicurezza (40) e spoofing (28). È un salto evidente rispetto ai mesi precedenti: il Patch Tuesday di settembre 2026, con 974 vulnerabilità corrette, era già stato definito un record storico da diversi osservatori del settore; quello di ottobre lo supera di circa 450 falle in più, confermando una tendenza alla crescita dei volumi di patch che dura da diversi mesi.
Il bug già sotto attacco: CVE-2026-96951 e il bypass del Mark of the Web
Tra le tre vulnerabilità zero-day corrette oggi, una risulta già sfruttata attivamente: CVE-2026-96951, un difetto di command injection nella Shell di Windows che permette di eludere le protezioni del cosiddetto Mark of the Web (MOTW). Il Mark of the Web è il meccanismo con cui Windows etichetta i file scaricati da Internet, in modo che il sistema operativo e le applicazioni (inclusi i client di posta e Office) possano applicare controlli di sicurezza aggiuntivi prima di eseguirli, come gli avvisi di apertura file potenzialmente pericolosi o la visualizzazione protetta dei documenti. Eludere questo meccanismo significa che un file dannoso, una volta scaricato, può essere aperto senza che Windows mostri i consueti avvisi di sicurezza, rendendo più efficaci gli attacchi basati su allegati di posta o link malevoli inviati tramite email o sistemi di messaggistica. Microsoft non ha diffuso dettagli tecnici sugli attacchi osservati né sull'identità di chi ha segnalato lo sfruttamento attivo, una prassi comune quando le indagini sono ancora in corso.
Gli altri due zero-day: .NET Framework e una libreria open source molto diffusa
Le altre due vulnerabilità zero-day corrette oggi non risultano sfruttate finora, ma erano già di pubblico dominio prima della pubblicazione delle patch, il che ne accelera potenzialmente i tempi di weaponizzazione da parte di attaccanti opportunisti. La prima, CVE-2026-108398, riguarda .NET Framework e permette di eludere i controlli di Windows Defender Application Control (WDAC), la tecnologia che molte aziende usano per limitare l'esecuzione ai soli programmi autorizzati: è stata scoperta da James Forshaw, ricercatore di Google Project Zero, uno dei nomi più noti nella ricerca di vulnerabilità sulla piattaforma Windows. La seconda, CVE-2026-92707, è un difetto di negazione del servizio in MessagePack-CSharp, una libreria open source di serializzazione dati utilizzata in numerosi progetti software, anche al di fuori dell'ecosistema Microsoft.
Windows, Active Directory e Azure: dove si concentrano le correzioni
Oltre al bug nella Shell, gli aggiornamenti di Windows toccano componenti come il Desktop Window Manager, i driver HID e la gestione dei font grafici. Una novità operativa riguarda il fine vita del supporto: con il rilascio di ottobre, Windows 11 24H2 Home e Pro e Windows 10 Enterprise LTSB 2016 smettono di ricevere aggiornamenti, il che impone a chi utilizza ancora queste versioni di pianificare l'aggiornamento a rilasci più recenti. Sul fronte Active Directory, le patch correggono diverse falle critiche di spoofing in Active Directory Domain Services e Active Directory Federation Services, componenti centrali per l'autenticazione nella maggior parte delle reti aziendali. Numerose correzioni riguardano anche Azure, con vulnerabilità critiche in App Service, API Center, Event Grid e SRE Agent, oltre a interventi su Dynamics 365 Business Central, Internet Explorer e, in modo esteso, componenti open source distribuiti con Windows attraverso il progetto Mariner, tra cui Apache Thrift, GnuTLS e la libreria Go net/http. Gli aggiornamenti di ottobre risolvono inoltre due problemi di stabilità che avevano generato segnalazioni diffuse nelle settimane precedenti: i malfunzionamenti della funzione Always On VPN con selezione automatica del protocollo, che lasciavano le connessioni bloccate o le facevano fallire, e gli schermi neri dopo l'accesso dovuti a crash di Explorer.exe negli ambienti multiutente come Azure Virtual Desktop e FSLogix.
Perché conta per chi gestisce reti aziendali
Per i reparti IT e i fornitori di servizi gestiti, il Patch Tuesday di ottobre pone due priorità distinte. La prima è l'urgenza: il bypass del Mark of the Web va applicato il prima possibile proprio perché risulta già usato in attacchi reali, mentre la vulnerabilità su .NET Framework, pur non ancora sfruttata, è ad alto rischio perché i dettagli sono di pubblico dominio. La seconda priorità è di pianificazione: la fine del supporto per Windows 11 24H2 Home/Pro e Windows 10 Enterprise LTSB 2016 richiede un censimento dei dispositivi ancora in uso con queste versioni, prima che l'assenza di patch le trasformi in un punto debole permanente della rete, lo stesso schema di rischio osservato di recente su FortiMail e sugli altri dispositivi di perimetro colpiti da zero-day nelle settimane scorse. La crescita costante del numero di vulnerabilità corrette ogni mese, del resto, è lo stesso fenomeno segnalato a livello europeo dal rapporto ENISA sul panorama delle minacce 2026, secondo cui lo sfruttamento di falle note o appena scoperte resta il principale vettore d'ingresso usato dagli attaccanti in Europa.
Il commento di PINET
Per le aziende e le pubbliche amministrazioni italiane, fortemente dipendenti dall'ecosistema Windows e Active Directory per l'autenticazione interna, un Patch Tuesday di queste dimensioni non è una notizia da archiviare in giornata: significa testare e distribuire oltre mille aggiornamenti in tempi ragionevoli, un carico di lavoro che pochi reparti IT interni possono assorbire senza una pianificazione pregressa, specie quando si parla di sistemi di autenticazione come Active Directory, dove un disservizio dovuto a un aggiornamento mal testato può bloccare l'intera organizzazione. La fine del supporto per due versioni Windows ancora diffuse in contesti aziendali e pubblici aggiunge un problema di budget, perché la migrazione a sistemi più recenti richiede spesso anche il rinnovo dell'hardware, una spesa che molte PMI e piccoli enti tendono a rimandare fino a quando diventa indifferibile. Non è un caso isolato né un problema solo italiano, ma la tendenza all'aumento costante del numero di falle corrette ogni mese dovrebbe spingere chi gestisce sistemi critici a trattare il patch management come un processo continuo e dotato di risorse proprie, e non come un'emergenza mensile da gestire con il personale già impegnato in altre attività.
Fonte: BleepingComputer e CyberInsider
