Il Patch Tuesday di ottobre 2026 entra nei libri dei record. Microsoft ha distribuito il 13 ottobre correzioni per 1.411 vulnerabilità, di cui 70 classificate come critiche, senza contare altre 348 falle sistemate nelle settimane precedenti in servizi come Azure ed Exchange Server. Tra le correzioni ci sono tre zero-day, uno dei quali già sfruttato attivamente.
I tre zero-day
| CVE | Componente | Stato |
|---|---|---|
| CVE-2026-96951 | Windows Shell, bypass di Mark of the Web | sfruttato attivamente |
| CVE-2026-108398 | .NET Framework, bypass di WDAC | reso pubblico |
| CVE-2026-92707 | libreria MessagePack-CSharp, denial of service | reso pubblico |
Il primo è quello da trattare con urgenza: consente di aggirare Mark of the Web, il meccanismo che segnala i file scaricati da internet e attiva gli avvisi di sicurezza. Microsoft non ha diffuso dettagli su chi lo stia usando. Il secondo, scoperto da James Forshaw di Google Project Zero, permette di eludere Windows Defender Application Control senza interazione dell’utente.
La distribuzione per categoria
- 677 elevazioni di privilegi;
- 317 esecuzioni di codice remoto;
- 254 divulgazioni di informazioni;
- 73 denial of service;
- 40 bypass di funzioni di sicurezza;
- 28 spoofing.
Tra le critiche spiccano un’esecuzione di codice remoto in Active Directory Domain Services, due spoofing in AD FS e falle in Azure App Service ed Event Grid: componenti che in molte aziende italiane sono il cuore dell’infrastruttura di identità.
Perché così tante falle
BleepingComputer collega il numero record all’uso crescente di piattaforme di intelligenza artificiale con cui Microsoft individua e corregge vulnerabilità nel proprio codice. Più strumenti automatici di ricerca significano più bug trovati e quindi bollettini più lunghi. Per aiutare gli amministratori, Microsoft ha introdotto in via sperimentale 15 “risk cohorts”, gruppi tematici come filesystem e backup (136 falle), documenti Office e client di posta (135) o kernel e confini di privilegio (109). L’azienda precisa che la dimensione di un gruppo non indica di per sé il livello di pericolo.
Scadenze da segnare
Ottobre ha portato l’ultimo aggiornamento di sicurezza per Windows 11 24H2 nelle edizioni Home e Pro e per Windows 10 Enterprise LTSB 2016. Chi è ancora su queste versioni deve aggiornare: i dettagli sulla nuova release sono nel nostro articolo su Windows 11 26H2, mentre per i PC rimasti su Windows 10 consumer resta il programma descritto in ESU gratuiti fino al 2027.
Cosa fare subito
- Installare gli aggiornamenti cumulativi di ottobre, partendo da controller di dominio e server esposti.
- Rafforzare i controlli sugli allegati, visto che il bypass di Mark of the Web favorisce le campagne di phishing.
- Verificare anche gli aggiornamenti di altri fornitori usciti nello stesso periodo, tra cui Citrix NetScaler, Fortinet FortiMail, Ivanti e SonicWall, con falle già sfruttate.
La nostra lettura
Il record non significa che Windows sia diventato più fragile, ma che la ricerca delle vulnerabilità sta accelerando grazie all’AI, da entrambi i lati. Per i reparti IT, soprattutto nelle PMI con poco personale, la sfida diventa la capacità di applicare le patch in fretta: le risk cohorts sono un aiuto, non una soluzione.
