Il Patch Tuesday del 13 ottobre 2026 è il più voluminoso mai registrato: 1.413 CVE nel conteggio di Microsoft (1.411 per BleepingComputer, che esclude 348 falle già corrette a inizio mese su Azure, Exchange, Dataverse e altri servizi). Circa 70 sono classificate Critical, di cui 57 di esecuzione di codice remoto. Numeri così alti fanno notizia, ma sono un pessimo criterio di priorità: ciò che decide l'ordine degli interventi sono le poche falle già sfruttate o facili da sfruttare.

Cosa è successo

Le fonti divergono sul titolo: BleepingComputer parla di tre zero-day, mentre altre analisi ne contano uno sfruttato e due divulgati pubblicamente. La differenza è solo di definizione ("zero-day" include le falle note prima della patch anche se non attaccate), ma conviene distinguere.

  • CVE-2026-96951, Windows Shell, sfruttata attivamente. È un bypass della funzione di sicurezza Mark of the Web (MOTW) dovuto a command injection, con CVSS 8.8 secondo le analisi secondarie. MOTW è il contrassegno che Windows applica ai file provenienti da Internet o da allegati, e che attiva avvisi di SmartScreen e le protezioni di Office (ad esempio le macro bloccate). Un file costruito ad arte, inviato via email, messaggistica o strumenti di collaborazione, può evitare quei controlli se l'utente interagisce con esso. CISA l'ha inserita nel catalogo KEV il 13 ottobre, con scadenza di rimedio al 16 ottobre per le agenzie federali americane. Su attori e campagne i dettagli pubblici sono scarsi.
  • CVE-2026-108398, .NET Framework, divulgata pubblicamente. Un altro bypass di funzione di sicurezza, che permette di aggirare WDAC (Windows Defender Application Control) registrando un assembly malevolo in un processo protetto. È attribuita a James Forshaw di Google Project Zero; Microsoft ritiene lo sfruttamento meno probabile.
  • CVE-2026-92707, MessagePack-CSharp, divulgata pubblicamente. Denial of service per allocazione di memoria non controllata, severità moderata.

Tra le falle critiche figurano una RCE in Active Directory Domain Services (CVE-2026-70229), diverse falle di spoofing in AD FS e, secondo fonti secondarie, cinque RCE in Outlook, in alcuni casi attivabili dalla sola anteprima del messaggio. Per queste ultime i dettagli vanno confermati sul Security Update Guide di Microsoft prima di fare affidamento sul vettore "anteprima".

Cosa significa per le aziende italiane

Il bypass del Mark of the Web è un classico "abilitatore": da solo non compromette un sistema, ma rimuove una barriera che molte difese danno per scontata. Nelle PMI e negli studi professionali italiani, dove l'email resta il canale principale di ingresso (fatture, PEC inoltrate, allegati compressi), il rischio concreto è che un allegato che un tempo avrebbe mostrato un avviso venga aperto senza alcun segnale. Per le aziende che hanno costruito la propria politica su "le macro da Internet sono bloccate" o su SmartScreen, la falla scalfisce un presupposto.

Il secondo punto riguarda Active Directory: la RCE su AD DS e le falle AD FS toccano il cuore di quasi tutte le reti Windows aziendali e degli enti pubblici. Non risultano sfruttate, ma sono esattamente il tipo di componente su cui gli attaccanti investono dopo l'accesso iniziale. Con oltre 1.400 correzioni da gestire, il rischio vero è la fatica da patch: aggiornare tutto in blocco è impossibile, e chi non ha una classificazione degli asset finisce per rimandare anche ciò che è urgente.

Infine, un dato di ciclo di vita: BleepingComputer segnala che Windows 11 24H2 Home e Pro ha raggiunto la fine del supporto con questo aggiornamento, insieme a Windows 10 Enterprise LTSB 2016. Chi ha parchi macchine non aggiornati alla 25H2 si ritrova senza correzioni di sicurezza proprio nel mese di un zero-day sfruttato.

Il quadro normativo

Per i soggetti NIS2 e per gli intermediari finanziari soggetti a DORA, la gestione delle vulnerabilità deve essere documentata e proporzionata al rischio: la presenza di una falla nel catalogo KEV è un criterio oggettivo per giustificare una patch accelerata, e la mancanza di un processo che distingua le urgenze dal volume è un rilievo tipico in sede di verifica. Mantenere traccia di quando la CVE-2026-96951 è stata valutata e corretta è un elemento semplice di accountability.

Cosa fare subito

  • Dare priorità alla CVE-2026-96951 su tutte le postazioni Windows, a partire dagli utenti più esposti alla posta (amministrazione, commerciale, direzione), tramite WSUS, Intune o il vostro strumento di gestione.
  • Non affidarsi solo a MOTW e SmartScreen: abilitare le regole ASR (Attack Surface Reduction) di Microsoft Defender, bloccare a livello di gateway email gli archivi e i collegamenti con estensioni a rischio e valutare il filtro degli allegati eseguibili.
  • Patch di Active Directory (AD DS e AD FS) sui domain controller secondo la finestra di manutenzione, testando prima in ambiente non produttivo.
  • Outlook: applicare gli aggiornamenti e, finché non sono confermati i dettagli, valutare di disattivare temporaneamente il riquadro di anteprima per i gruppi più a rischio.
  • Verificare il ciclo di vita: individuare le macchine con Windows 11 24H2 Home/Pro o Windows 10 LTSB 2016 e pianificare l'aggiornamento di versione.
  • Documentare data di valutazione, priorità assegnata e data di installazione: sarà utile per NIS2, DORA e ISO 27001.

La nostra lettura

Il conteggio record di questo mese è soprattutto un effetto del modo in cui Microsoft ora pubblica e conta le correzioni (anche componenti open source e servizi cloud). Il messaggio utile per chi gestisce sistemi è che il volume non cambia l'ordine delle priorità: un solo bug sfruttato, una manciata di falle sull'identità e sui client di posta, e la scadenza di supporto di una versione molto diffusa. Concentrare le energie su queste tre cose vale più di un patching indiscriminato.