In questo articolo Indice dei contenuti 2 sezioni
Un aggiornamento che passerà negli annali della sicurezza informatica: Microsoft ha chiuso in un colpo solo 964 vulnerabilità, un numero che nessuno si aspettava di vedere in un singolo ciclo di patch. Secondo diversi analisti, tra cui Malwarebytes, si tratta del più grande intervento di sicurezza mai rilasciato dall’azienda nella storia del Patch Tuesday. Difficile dargli torto, considerando che le cifre di un mese normale si contano di solito nell’ordine delle decine.
Dentro quel mucchio di correzioni ci sono due falle zero-day, e qui la questione si fa seria. Una delle due risultava già sfruttata attivamente prima che arrivasse la soluzione ufficiale, il che significa che qualcuno la stava usando mentre gli utenti erano ancora scoperti. Per chiunque abbia un dispositivo Windows tra le mani, installare la nuova versione stabile non è un consiglio da rimandare al fine settimana.
Le due zero-day corrette da Microsoft
La prima porta la sigla CVE-2026-81963 e riguarda una vulnerabilità di elevazione dei privilegi nelle chiamate di procedura locale avanzata, quelle che in ambiente Windows vengono indicate con la sigla ALPC. Il problema nasce da una risoluzione errata dei collegamenti prima dell’accesso ai file, il cosiddetto link following, all’interno dello stack di Windows Update. Tradotto in parole semplici, un utente malintenzionato già autorizzato sul sistema può alzare il proprio livello di permessi a livello locale e arrivare dove non dovrebbe.
La seconda è CVE-2026-85880 e colpisce direttamente lo stack di Windows Update. Si tratta di un buffer overflow basato sull’heap dentro Windows ALPC, con un effetto finale molto simile al caso precedente, ovvero l’elevazione dei privilegi in locale da parte di un attaccante autorizzato. Due bug diversi nella meccanica, stesso risultato pratico: il controllo del sistema che finisce nelle mani sbagliate. Va detto che il mese scorso l’azienda di Redmond era già finita sotto i riflettori per un prompt nascosto dentro Copilot che aveva creato non poco allarme tra gli utenti. Due episodi ravvicinati che raccontano quanto il perimetro da difendere sia diventato ampio.
Come si distribuiscono le 964 vulnerabilità corrette
Microsoft ha pubblicato sulla propria pagina ufficiale la ripartizione completa degli interventi, prodotto per prodotto. Il grosso del lavoro riguarda Windows, con 72 vulnerabilità corrette e 332 aggiornamenti distinti di tipo cumulativo. Subito dopo arrivano i Developer Tools, con 22 falle sistemate e 36 aggiornamenti distinti, anche in questo caso cumulativi.
Su Azure l’intervento conta 12 vulnerabilità corrette con 4 aggiornamenti distinti, distribuiti in modalità individuale. SharePoint Server si porta a casa 16 correzioni con 3 aggiornamenti cumulativi, mentre Skype for Business ne registra 10 con 3 aggiornamenti, sempre di tipo cumulativo. Exchange Server chiude 9 vulnerabilità attraverso 4 aggiornamenti distinti.
Il capitolo Office merita una nota a parte, perché i numeri sono curiosi: 11 vulnerabilità corrette ma 111 aggiornamenti distinti, con distribuzione cumulativa a eccezione della versione 2016. Quest’ultima viene trattata separatamente, con le stesse 11 falle sistemate e 118 aggiornamenti distinti gestiti in modalità individuale. Sul fronte SQL si parla di 6 vulnerabilità e 21 aggiornamenti cumulativi. La voce Other, che raccoglie tutto il resto, riporta 9 vulnerabilità corrette e altrettanti aggiornamenti individuali. Numeri alla mano, l’invito a scaricare subito la patch ha un senso preciso: le due zero-day non sono teoriche, una di queste è già stata usata nel mondo reale. Chi rimanda l’installazione resta esposto a un problema di cui gli attaccanti conoscono già i dettagli tecnici, ora che le informazioni sono pubbliche. Gli aggiornamenti sono disponibili attraverso i canali ordinari di Windows Update e, per gli ambienti aziendali, tramite i consueti strumenti di distribuzione centralizzata.
