Patch Tuesday di ottobre 2026: oltre 1.400 falle e uno zero-day già sfruttato

Il 13 ottobre 2026 Microsoft ha pubblicato gli aggiornamenti di sicurezza mensili, il cosiddetto Patch Tuesday, con un numero di correzioni mai visto: 1.411 vulnerabilità secondo il conteggio di BleepingComputer, 1.413 per SecurityWeek, che contano in modo diverso le falle già chiuse nei servizi cloud. Fra queste c'è CVE-2026-96951, una falla di Windows già sfruttata negli attacchi. Anche il CSIRT Italia ha segnalato il rilascio e lo zero-day.

Perché questo Patch Tuesday è così grande?

Secondo SecurityWeek, Microsoft ha corretto questo mese più vulnerabilità che in tutto il 2025, e l'aumento è legato in buona parte all'uso dell'intelligenza artificiale per trovare i difetti. La maggior parte riguarda Windows (1.102), poi Office (134) e SharePoint Server (36). BleepingComputer conta 70 falle classificate come critiche, quasi tutte di esecuzione di codice da remoto.

Per aiutare gli amministratori a scegliere le priorità, Microsoft ha introdotto i "risk cohorts", gruppi di vulnerabilità da valutare insieme. Utili per chi gestisce molti server; per una piccola impresa la regola resta più semplice: si installa tutto, partendo dai PC.

Cos'è lo zero-day CVE-2026-96951?

È una falla nella shell di Windows, valutata 8,8 su 10, che permette di aggirare il Mark of the Web. È il "marchio" che Windows applica ai file scaricati da internet o arrivati come allegato: grazie a quel marchio SmartScreen avvisa prima di aprire un eseguibile e Office apre i documenti in visualizzazione protetta.

Se il marchio salta, un file malevolo si apre senza nessun avviso. Microsoft spiega che l'attaccante deve comunque convincere la persona a fare qualcosa, per esempio aprire un file ricevuto via email o in chat. È lo scenario tipico del phishing contro le aziende: la fattura finta, il preventivo, la "documentazione" da scaricare.

La falla è stata segnalata da ricercatori di Fujitsu, di Anthropic e da un esperto indipendente. Microsoft non ha dato dettagli sugli attacchi. L'agenzia americana CISA l'ha inserita nel suo catalogo delle vulnerabilità sfruttate, con scadenza al 16 ottobre per gli enti federali.

E le altre falle già note prima della patch?

Due vulnerabilità erano pubbliche prima della correzione, ma senza attacchi confermati:

• CVE-2026-108398, nel .NET Framework: permette di aggirare Windows Defender Application Control, il sistema che decide quali programmi possono girare; l'ha segnalata un ricercatore di Google Project Zero;
• CVE-2026-92707, in MessagePack-CSharp, un componente usato da Visual Studio e .NET: può bloccare il servizio (denial of service), con gravità moderata.

Cosa cambia per una PMI?

Per un ufficio con dieci o venti PC il rischio concreto è uno solo: il dipendente che apre l'allegato sbagliato su un computer non aggiornato. Lo zero-day di questo mese toglie proprio l'ultimo avviso che avrebbe potuto fermarlo.

Il secondo punto riguarda chi ha server in casa: un gestionale su Windows Server, una cartella condivisa, un vecchio SharePoint. Lì le falle critiche di esecuzione di codice pesano di più, e l'aggiornamento va programmato con un backup fatto prima.

Cosa fare adesso?

1. Installa gli aggiornamenti di ottobre su tutti i PC, da Impostazioni > Windows Update, e riavvia: finché il computer non si riavvia la patch non è attiva.
2. Controlla i PC "dimenticati": il portatile del magazzino, il computer della reception, quello di chi è in ferie.
3. Aggiorna i server in una finestra concordata, dopo un backup verificato.
4. Ricorda a tutti che un allegato inatteso va verificato con il mittente per telefono, anche se Windows non mostra avvisi. Qui trovi come riconoscere il phishing aziendale.
5. Verifica la versione di Windows: con questo rilascio alcune edizioni hanno ricevuto l'ultimo aggiornamento. Ne parlo in Windows 10 e Windows 11 24H2: cosa è finito il 13 ottobre.

Ne parliamo?

Molte delle applicazioni che sviluppo girano su server e PC delle aziende che le usano, e un aggiornamento saltato pesa anche su di loro. Se vuoi capire come tenere in ordine i sistemi su cui lavorano il tuo gestionale su misura e i tuoi strumenti interni, o ti serve un parere sulla tua infrastruttura, la consulenza tecnica parte da qui. Scrivimi dalla pagina contatti.

Fonti

• Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days (BleepingComputer)
• Microsoft Patches Record 1,413 Vulnerabilities, Including Exploited Windows Zero-Day (SecurityWeek)
• Aggiornamenti mensili Microsoft (ACN, CSIRT Italia)

Crediti delle immagini

• Copertina: foto di Al Nahian su Pexels