Patch Tuesday di ottobre 2026: oltre 1.400 falle e le priorità

Il 13 ottobre 2026 Microsoft ha pubblicato gli aggiornamenti mensili di sicurezza più corposi della sua storia: oltre 1.400 vulnerabilità corrette. Della CVE-2026-96951 in Windows Shell, l’unica già sfruttata, abbiamo scritto in un articolo dedicato; qui raccogliamo il resto: gli altri due zero-day, le falle che conviene correggere per prime e le versioni di Windows uscite dal supporto lo stesso giorno.

Quante sono, e perché i numeri non coincidono

Le testate riportano totali diversi: 1.411 per BleepingComputer, 1.413 per The Hacker News e per Tyler Reguly di Fortra, 1.407 per CSO Online. BleepingComputer conta solo le vulnerabilità pubblicate il giorno del Patch Tuesday e ne esclude 348 già corrette all’inizio del mese (tra cui Azure, Dataverse ed Exchange Server). Anche sulle critiche le fonti divergono: 70 secondo BleepingComputer (57 di esecuzione di codice remoto, 11 di elevazione di privilegi, 2 di spoofing), almeno 78 secondo Krebs on Security.

Per categoria prevalgono le elevazioni di privilegi (677) e le esecuzioni di codice remoto (317). Microsoft attribuisce il volume all’uso di modelli linguistici nella ricerca delle vulnerabilità; il record precedente, a settembre, era di circa 1.000.

L’avviso AV26-1038 del Canadian Centre for Cyber Security elenca i prodotti colpiti: tra gli altri Windows 10 e 11, Windows Server dalla 2012 alla 2025, Exchange Server, SharePoint Server, SQL Server dalla 2017 alla 2025, Office, .NET e .NET Framework. Il NSM norvegese non segnala vulnerabilità specifiche e raccomanda di aggiornare appena possibile.

Gli zero-day

• CVE-2026-96951, Windows Shell: le nuove fonti chiariscono che la funzione aggirata è il Mark of the Web (MotW), l’etichetta che Windows applica ai file scaricati da Internet per attivare avvisi e controlli. Secondo Krebs colpisce Windows 10, Windows 11 e alcune versioni di Windows Server. Satnam Narang di Tenable, citato da CSO Online, ricorda che è la terza falla di Windows Shell sfruttata nel 2026, dopo la CVE-2026-21510, collegata al gruppo APT28, e la CVE-2026-32202, che correggeva una patch incompleta della prima.
• CVE-2026-108398, .NET Framework (divulgata pubblicamente, nessuno sfruttamento noto): percorso di ricerca non attendibile che permette di aggirare Windows Defender Application Control (WDAC). Nella descrizione di Microsoft riportata da BleepingComputer, un attaccante autenticato colloca un assembly .NET costruito ad arte e lo registra perché venga caricato da un processo protetto, ottenendo l’esecuzione di codice in quel processo, senza interazione dell’utente. CSO Online parla invece di un attaccante non autenticato. Scoperta da James Forshaw di Google Project Zero.
• CVE-2026-92707, MessagePack-CSharp (divulgata pubblicamente): negazione del servizio via rete per un’allocazione di memoria non controllata.

Le fonti non concordano sull’elenco: CSO Online indica come terzo zero-day, al posto di MessagePack-CSharp, la CVE-2026-102866 di SharePoint, mentre Krebs considera zero-day solo la falla di Windows Shell.

Le altre falle da guardare per prime

• SharePoint, CVE-2026-102866: elevazione di privilegi segnalata da Dustin Childs (Zero Day Initiative). Secondo Microsoft, un attaccante non autenticato che ottiene un proof token valido di un utente può modificarlo, inviarlo al server SharePoint e autenticarsi come quell’utente, senza interazione.
• 55 vulnerabilità wormable, sempre secondo Childs: senza autenticazione e senza clic, concentrate tra l’altro in DHCP Server (6), Remote Desktop Gateway (3) e Network Policy Server (4).
• CVSS 9.8, senza autenticazione né interazione (Jack Bicer, Action1): Message Queuing CVE-2026-100202, driver di stampa PostScript CVE-2026-70147 e CVE-2026-70153, QUIC CVE-2026-105016 e CVE-2026-100219. Nessuno sfruttamento confermato.
• Exchange Server: quattro aggiornamenti on-premises, ciascuno con una vulnerabilità da CVSS 8.8 (Nightwing).

Microsoft introduce in via sperimentale i risk cohort: 15 gruppi di vulnerabilità affini, dai file system e backup (136) ai documenti Office e client di posta (135), con un PDF di corrispondenza. Microsoft precisa che non indicano da soli le falle più pericolose.

Versioni di Windows senza più aggiornamenti

Quello di ottobre è l’ultimo aggiornamento per Windows 11 24H2 Home e Pro e per Windows 10 Enterprise LTSB 2016. Le edizioni Enterprise ed Education di 24H2 restano supportate fino al 12 ottobre 2027. Da novembre smettono di ricevere aggiornamenti anche Windows 11 23H2 Enterprise, Education e IoT Enterprise; Windows Server 2022 esce dal supporto principale ma resta in supporto esteso fino a ottobre 2031. Microsoft indica il passaggio a Windows 11 26H2. Per Windows 10 con ESU o LTSC l’aggiornamento è KB5126657 (build 19045.7807 e 19044.7807).

Impatto per le aziende europee e italiane

Molte piccole e medie imprese usano Windows 11 Pro: le postazioni ancora su 24H2 da novembre restano senza correzioni. Per i soggetti NIS2 la gestione delle vulnerabilità chiede priorità motivate: con volumi simili il criterio indicato dagli esperti citati è lo sfruttamento reale. Reguly ricorda che solo 26 CVE Microsoft del 2026 sono nel catalogo KEV della CISA. Nella sanità, server DHCP, gateway di desktop remoto e NPS sono spesso condivisi con reti cliniche: vanno trattati come sistemi esposti.

Cosa fare subito

1. Windows Shell per prima (CVE-2026-96951), come nell’articolo precedente: è l’unica già sfruttata e aggira le protezioni del Mark of the Web.
2. Servizi esposti o centrali: SharePoint, Remote Desktop Gateway, DHCP Server, NPS, Message Queuing ed Exchange on-premises, partendo da quelli raggiungibili da Internet.
3. Se usi WDAC come controllo delle applicazioni, aggiorna .NET Framework con priorità: la CVE-2026-108398 è già pubblica.
4. Inventario delle versioni: individua le postazioni con Windows 11 24H2 Home o Pro e pianifica il passaggio a 26H2; prepara entro novembre quelle con 23H2 Enterprise ed Education.
5. Priorità: parti dalle CVE nel catalogo KEV, poi usa i risk cohort per organizzare test e rilascio; verifica alla fine che l’installazione sia avvenuta su tutte le macchine.

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto e mette in evidenza quelle già sfruttate dagli attaccanti, aiutando a decidere l’ordine degli aggiornamenti. ARX Sentry raccoglie l’inventario di sistema e software di computer e server, utile a trovare le postazioni con versioni di Windows fuori supporto. ARX Expose mostra quali servizi la tua azienda espone su Internet, come un gateway di desktop remoto o un portale SharePoint.

Ultimo aggiornamento: 14 ottobre 2026