Il Patch Tuesday di agosto 2026 è uno dei più corposi dell'anno: secondo il conteggio indipendente della Zero Day Initiative, Microsoft ha corretto 398 nuove CVE, di cui 62 classificate Critical. Altre testate arrivano a contare oltre 400 bollettini includendo le falle di terze parti ripubblicate, ma il numero conta meno della sostanza: nel pacchetto ci sono una vulnerabilità già sfruttata in attacchi reali e quattro falle di esecuzione di codice remoto che non richiedono né credenziali né interazione della vittima.

La zero-day: CVE-2026-68820 in afd.sys

La falla sfruttata attivamente è CVE-2026-68820, un use-after-free in afd.sys, l'Ancillary Function Driver for WinSock, componente kernel che gestisce le operazioni sui socket di rete di Windows. Il punteggio CVSS è 7.0, relativamente basso, perché si tratta di una elevazione di privilegi: l'attaccante deve già avere codice in esecuzione sulla macchina e deve vincere una race condition nel driver. Una volta riuscito, però, ottiene privilegi SYSTEM, cioè il controllo completo del sistema.

Microsoft non ha attribuito pubblicamente lo sfruttamento, ma Check Point Research collega la zero-day al gruppo nordcoreano Lazarus e alla campagna Operation Dream Job: false offerte di lavoro usate per convincere le vittime, spesso professionisti di settori strategici, ad aprire file malevoli. È lo schema classico in cui l'accesso iniziale arriva dal social engineering e la zero-day serve per il passo successivo, la scalata dei privilegi.

Quattro RCE senza autenticazione

Subito dietro la zero-day, per priorità, ci sono quattro falle con CVSS 9.8 che non richiedono nulla alla vittima: né account, né click. Riguardano Windows DNS Server (CVE-2026-62878, un buffer overflow su stack che ZDI definisce potenzialmente wormable, anche se al momento non esiste alcun worm), Windows Deployment Services (CVE-2026-62893, raggiungibile via TFTP), l'implementazione Microsoft del protocollo QUIC (CVE-2026-62815) e HPC Pack (CVE-2026-59124, classificata Important solo perché il componente non è installato di default, ma con sfruttamento ritenuto probabile).

Agosto chiude anche la seconda metà della catena SharePoint segnalata da Rapid7: a luglio era stato corretto il bypass di autenticazione CVE-2026-55040 (CVSS 9.1), ora arriva la patch per la componente RCE, CVE-2026-63520. Le due falle insieme permettevano esecuzione di codice remoto senza credenziali sulle farm SharePoint on-premises: chi ha applicato solo l'aggiornamento di luglio ha già spezzato la catena dimostrata, ma deve completare il lavoro con quello di agosto.

Cosa significa per le aziende italiane

Il tempismo è il vero problema: questo Patch Tuesday cade a ridosso di Ferragosto, quando molti reparti IT italiani lavorano a ranghi ridotti e le finestre di manutenzione slittano a settembre. È esattamente lo scenario che gli attaccanti sfruttano: la forbice fra rilascio della patch e sua applicazione, che in Italia è storicamente più ampia della media europea, si allarga ulteriormente nelle settimane estive. Pianificare l'installazione prima della pausa, almeno sui sistemi esposti, non è eccesso di zelo: è la differenza fra un aggiornamento di routine e un incidente da gestire sotto l'ombrellone.

C'è poi un aspetto strutturale che riguarda le PMI: nella stragrande maggioranza delle reti italiane il ruolo DNS Server gira sui domain controller Active Directory. La falla CVE-2026-62878 trasforma quindi un componente onnipresente in un potenziale punto di ingresso diretto verso il cuore dell'infrastruttura, anche quando il servizio non è esposto su Internet: basta un attaccante già presente nella rete interna. Per i soggetti essenziali e importanti ai sensi della NIS2, la gestione tempestiva delle vulnerabilità non è più solo buona pratica ma parte delle misure di sicurezza di base richieste dal quadro normativo, e un incidente causato da una patch nota e non applicata è difficilmente difendibile davanti ad ACN.

Infine, il vettore usato da Lazarus merita attenzione anche da noi: le campagne a tema recruiting su LinkedIn e via email non distinguono per nazionalità, e i settori difesa, aerospazio ed energia italiani sono già stati bersaglio di operazioni analoghe in passato.

Cosa fare subito

  • Installare gli aggiornamenti di agosto dando priorità a CVE-2026-68820 su tutte le workstation e i server Windows: è l'unica falla del pacchetto già sfruttata in attacchi reali.
  • Censire l'esposizione dei servizi colpiti dalle quattro RCE: DNS Server (in particolare sui domain controller), Windows Deployment Services, servizi basati su QUIC e HPC Pack.
  • Verificare che le farm SharePoint on-premises abbiano sia la patch di luglio (CVE-2026-55040) sia quella di agosto (CVE-2026-63520).
  • Controllare che EDR e monitoraggio rilevino tentativi di sfruttamento di afd.sys e attività anomale post-compromissione verso privilegi SYSTEM.
  • Sensibilizzare i dipendenti, soprattutto in ambito tecnico e amministrativo, sulle false offerte di lavoro: è il vettore iniziale della campagna che ha sfruttato la zero-day.
  • Se la finestra di manutenzione è pianificata dopo Ferragosto, anticipare almeno i sistemi esposti su Internet e i domain controller.