Microsoft ha chiuso il Patch Tuesday di settembre 2026 con il rilascio più grande della sua storia: 964 CVE secondo il conteggio di Tenable, 104 delle quali classificate come critiche e 860 come importanti. Il numero varia leggermente a seconda di come si contano le vulnerabilità di terze parti incluse nel bollettino: Microsoft ne elenca 973 nelle proprie note di rilascio, SecurityWeek arriva a 974. In ogni caso il precedente record di luglio, già considerato anomalo, è stato ampiamente superato.

Due di queste falle erano già sotto sfruttamento attivo al momento della pubblicazione, e CISA le ha inserite nel catalogo KEV imponendo alle agenzie federali statunitensi la correzione entro il 22 settembre.

I due zero-day: stessa destinazione, SYSTEM

CVE-2026-81963 è una elevazione di privilegi nel Windows Update Stack, CVSSv3 7.8, classificata da Microsoft come "importante". Si tratta di una vulnerabilità di tipo link following: l'attaccante induce il componente a seguire un collegamento verso una risorsa che non dovrebbe toccare e ottiene privilegi SYSTEM. Tenable segnala che dal 2022 sono state corrette sette falle di questo tipo nell'update stack, ma è la prima a essere sfruttata in rete come zero-day.

CVE-2026-85880 colpisce l'Advanced Local Procedure Call (ALPC), il meccanismo di comunicazione tra processi di Windows. Anche qui CVSSv3 7.8 ed elevazione a SYSTEM. Delle sedici falle ALPC corrette dal 2022, questa è la prima a comparire in un Patch Tuesday da aprile 2023 e la seconda mai sfruttata come zero-day dopo CVE-2023-21674 del gennaio 2023.

Nessuna delle due permette di entrare da sola: sono il secondo anello della catena. Il primo è sempre lo stesso, una casella di posta e un utente che clicca. Ma l'osservazione più utile arriva da Serena DiPenti di Automox, citata da The Record: chi controlla l'update stack controlla proprio lo strumento con cui lo si dovrebbe sfrattare. Se non si sa quando l'update stack ha girato l'ultima volta, non si sa nemmeno se è stato aggiornato.

Le altre quattro da guardare per prime

Oltre agli zero-day, quattro voci meritano attenzione immediata perché Microsoft stessa le valuta come "Exploitation More Likely":

  • CVE-2026-69730, Windows DNS Server, esecuzione di codice remoto, CVSSv3 9.8, critica. Un attaccante remoto e non autenticato invia un pacchetto costruito ad arte e sfrutta un use-after-free per eseguire codice. Nello stesso bollettino ci sono altre otto RCE nel DNS Server, con valutazioni di sfruttabilità più basse.
  • CVE-2026-69525, Remote Desktop Services, RCE, CVSSv3 9.8. Use-after-free ed esecuzione di codice arbitrario. Altre tre RCE in RDS sono state corrette lo stesso giorno.
  • CVE-2026-69676, Windows Kerberos, RCE, CVSSv3 8.8, critica. Un aggiramento dell'autenticazione tramite capture-replay che porta a esecuzione di codice partendo da un accesso a basso privilegio.
  • CVE-2026-69380, Exchange Server, CVSSv3 8.1. Un utente autenticato con una casella qualsiasi può leggere le caselle altrui, inviare e ricevere posta a nome di altri e accedere agli allegati. Microsoft la valuta "Exploitation Less Likely", ma Nick Carroll di Nightwing ha contato oltre 22.000 server Exchange aziendali non aggiornati a fronte di codice di exploit già disponibile.

L'inflazione dei CVE non è un dettaglio statistico

Satnam Narang di Tenable nota che con questo rilascio il totale dell'anno supera 2.600 vulnerabilità divulgate da Microsoft, già più del doppio del precedente anno record, il 2020. La progressione del 2026 è ripida: circa 200 falle a giugno, oltre 570 a luglio, 398 ad agosto, quasi mille a settembre. L'ipotesi che circola da mesi tra i ricercatori è che l'adozione di strumenti di revisione del codice basati su intelligenza artificiale stia producendo un'ondata di difetti minori, individuabili in massa e concatenabili tra loro.

Cosa significa per le aziende italiane

Un rilascio da mille CVE rompe un modello operativo che in Italia regge ancora su molte scrivanie: la finestra mensile in cui si applica tutto. Nessun reparto IT di una media impresa italiana, spesso due o tre persone che si occupano anche di help desk e di stampanti, chiude 964 correzioni in un fine settimana di manutenzione. Il punto non è organizzarsi meglio: è che quel modello non è più eseguibile, e continuare a fingere che lo sia produce soltanto un arretrato invisibile.

La conseguenza pratica è che il criterio di ordinamento deve cambiare, e il CVSS da solo non basta più. Entrambi gli zero-day di questo mese hanno punteggio 7.8 e severità "importante": in un elenco ordinato per CVSS finirebbero sotto decine di falle da 9.8 che nessuno sta sfruttando. La gerarchia utile è un'altra, e in quest'ordine: prima ciò che è nel catalogo KEV di CISA, che è sfruttamento confermato e non ipotesi; poi ciò che Microsoft marca "Exploitation More Likely" su servizi effettivamente raggiungibili dall'esterno del proprio perimetro; poi tutto il resto, che può attendere il ciclo ordinario.

Il secondo effetto riguarda la capacità di dimostrare quello che si fa. Il d.lgs. 138/2024, che recepisce NIS2, non chiede ai soggetti essenziali e importanti di avere zero vulnerabilità aperte: chiede una gestione del rischio proporzionata e documentata, e la gestione delle vulnerabilità è una delle misure minime esplicite. In sede ispettiva la differenza fra un'azienda conforme e una scoperta non è il numero di patch mancanti, ma l'esistenza di un criterio scritto che spieghi perché quelle mancano e cosa si è messo al loro posto. Un arretrato consapevole, motivato e mitigato è una posizione difendibile; un arretrato che nessuno ha misurato non lo è. Per le banche e gli intermediari finanziari il ragionamento è identico sotto DORA, con in più requisiti espliciti sul testing e sulla gestione delle vulnerabilità ICT.

Terzo punto, quello che vale la pena portare in direzione: i 22.000 Exchange esposti non sono un problema di patching, sono un problema di inventario. Un server che nessuno ricorda di avere non compare in nessun piano di aggiornamento. Prima di discutere di priorità occorre sapere che cosa si ha in casa.

Cosa fare subito

  • Applicare gli aggiornamenti di settembre su tutti gli endpoint e i server Windows, dando la precedenza a CVE-2026-81963 e CVE-2026-85880, che sono sfruttati in rete a prescindere dal punteggio CVSS.
  • Verificare esplicitamente che il Windows Update Stack sia aggiornato e che i client stiano effettivamente ricevendo gli aggiornamenti: un client che risulta conforme solo perché non risponde è il caso peggiore.
  • Aggiornare con urgenza i server Exchange on premise e verificare quali siano raggiungibili da Internet; se non devono esserlo, chiuderli.
  • Portare in cima alla coda i sistemi che espongono DNS Server, Remote Desktop Services e Remote Desktop Gateway verso reti non fidate.
  • Ricostruire l'inventario degli asset Windows prima del prossimo ciclo: server dimenticati, macchine virtuali sospese e riaccese, apparati di laboratorio.
  • Scrivere e far approvare un criterio di priorità del patching che metta il catalogo KEV e la sfruttabilità davanti al CVSS, e conservarlo: è il documento che serve in caso di ispezione o di richiesta dell'assicuratore.
  • Per i soggetti NIS2, verificare che il processo di gestione delle vulnerabilità sia tracciato e riesaminato periodicamente, non affidato alla memoria di chi applica le patch.