Il Patch Tuesday di luglio 2026 entra nella storia degli aggiornamenti Microsoft: 570 vulnerabilità corrette in un solo ciclo mensile, di gran lunga il numero più alto mai registrato. Tra queste ci sono 59 falle critiche e tre zero-day, due dei quali risultano già sfruttati in attacchi reali. E i bersagli non sono componenti marginali: si tratta di Active Directory Federation Services (AD FS) e SharePoint Server, due pilastri dell'infrastruttura di molte organizzazioni italiane.

Cosa è successo

Il 14 luglio Microsoft ha rilasciato gli aggiornamenti mensili per Windows, Office, Azure, SQL Server, Exchange, SharePoint e Visual Studio. Il conteggio varia leggermente a seconda delle testate: BleepingComputer indica 570 CVE corrette nella sola giornata di martedì, mentre altre fonti arrivano a 622 includendo le correzioni distribuite sui servizi cloud nei giorni precedenti. In ogni caso il precedente record, i circa 200 bollettini di giugno, è stato quasi triplicato. La ripartizione: 254 elevazioni di privilegi, 145 esecuzioni di codice remoto, 102 divulgazioni di informazioni, più denial of service, spoofing e bypass di funzioni di sicurezza. Delle 59 falle critiche, 48 sono RCE.

I tre zero-day meritano attenzione singolarmente:

  • CVE-2026-56155 — AD FS, CVSS 7.8, sfruttata attivamente. Un'elevazione di privilegi locale dovuta a una granularità insufficiente dei controlli di accesso: un utente autenticato può ottenere privilegi amministrativi sul server federativo. La scoperta è attribuita al team DART, l'unità di incident response di Microsoft — un dettaglio che suggerisce come la falla sia emersa analizzando compromissioni reali.
  • CVE-2026-56164 — SharePoint Server, CVSS 5.3, sfruttata attivamente. Un'autenticazione mancante su una funzione critica consente a un attaccante remoto non autorizzato di elevare i privilegi via rete. Riguarda SharePoint Server 2016, 2019 e Subscription Edition. Microsoft indica come mitigazione l'attivazione dell'interfaccia AMSI con la scansione del corpo delle richieste in modalità Full. La segnalazione arriva da Mandiant Incident Response e Google Cloud.
  • CVE-2026-50661 — BitLocker, divulgata pubblicamente. Permette a chi ha accesso fisico al dispositivo di aggirare la funzione Device Encryption e accedere ai dati cifrati. Non risultano al momento sfruttamenti in rete, ma il dettaglio tecnico è di pubblico dominio.

Cosa significa per le aziende italiane

Il primo ragionamento riguarda il bersaglio: l'infrastruttura di identità. AD FS è ancora molto diffuso in Italia nelle configurazioni ibride di pubbliche amministrazioni, banche e grandi gruppi che non hanno completato la migrazione a Entra ID. Chi ottiene privilegi amministrativi su un server federativo può, nello scenario peggiore, emettere token validi per qualsiasi applicazione federata: è la tecnica resa celebre dall'attacco a SolarWinds. Un EoP "locale" su AD FS non è mai un problema locale.

Il secondo insegnamento è metodologico: il punteggio CVSS non basta a decidere le priorità. La falla di SharePoint ha un punteggio di 5.3 e gravità formale "moderate", eppure è una delle due già sfruttate in rete — mentre decine di falle critiche da 8 o 9 punti non risultano attaccate. Chi ordina le patch per punteggio rischia di lasciare per ultima proprio quella urgente. È lo stesso schema visto a inizio mese con la CVE-2026-45659 di SharePoint entrata nel catalogo KEV: le installazioni on-premises di SharePoint restano un bersaglio ricorrente, spesso raggiungibile dall'esterno e ricco di documenti sensibili.

Il terzo punto è il volume. Cinquecentosettanta patch in un mese mettono sotto stress qualsiasi processo di gestione: testare tutto con la stessa priorità è irrealistico. Serve un approccio basato sul rischio — prima le falle sfruttate, poi quelle su sistemi esposti, poi il resto — con finestre di test differenziate. Per i soggetti NIS2 questo non è solo buon senso: le misure di sicurezza di base richieste da ACN includono un processo documentato di gestione delle vulnerabilità con tempi di intervento definiti, e la capacità di dimostrare di aver dato priorità alle falle sfruttate attivamente è esattamente ciò che un'ispezione andrà a verificare.

Un'ultima avvertenza da consulente: se AD FS o SharePoint erano raggiungibili prima dell'aggiornamento, la patch chiude la porta ma non caccia chi è già entrato. Le due falle erano sfruttate come zero-day: sui sistemi esposti serve anche una verifica di compromissione, non solo l'installazione dell'update.

Cosa fare subito

  • Applicare con priorità assoluta gli aggiornamenti su AD FS e SharePoint Server (2016, 2019, Subscription Edition), prima ancora del resto del parco macchine.
  • Dove la patch di SharePoint non è applicabile immediatamente, attivare AMSI con Request Body Scan in modalità Full come mitigazione temporanea.
  • Cercare indicatori di compromissione sui server AD FS e SharePoint: accessi anomali, account di servizio con attività insolite, web shell, modifiche ai certificati di firma dei token.
  • Pianificare il rollout delle restanti patch per anelli (sistemi di test, poi server esposti, poi il resto), documentando le decisioni di priorità.
  • Verificare che i dispositivi con dati sensibili protetti da BitLocker abbiano anche una protezione fisica adeguata e il PIN di preavvio dove appropriato.

Un Patch Tuesday da record non è solo una curiosità statistica: è un test di maturità per i processi di vulnerability management. Le aziende che escono bene da mesi così sono quelle che hanno smesso di chiedersi "quante patch mancano" e hanno iniziato a chiedersi "quali patch contano".