In questo articolo Indice dei contenuti 2 sezioni
Con il Patch Tuesday di ottobre 2026 Microsoft ha distribuito aggiornamenti di sicurezza che correggono la cifra record di 1.411 vulnerabilità, tra cui tre falle zero day. Una risulta già sfruttata attivamente negli attacchi, mentre le altre due erano state rese pubbliche prima che esistesse una correzione ufficiale. Il pacchetto è stato rilasciato il 13 ottobre 2026 e nessun aggiornamento mensile dell’azienda aveva mai raggiunto numeri del genere.
Le falle classificate come critiche sono 70. Di queste 57 consentono l’esecuzione di codice da remoto, 11 l’elevazione dei privilegi e 2 lo spoofing. Allargando lo sguardo all’intero rilascio, la categoria più nutrita è quella dell’elevazione dei privilegi con 677 problemi, seguita da 317 casi di esecuzione di codice da remoto, 254 di divulgazione di informazioni, 73 legati alla negazione del servizio, 40 che permettono di aggirare funzioni di sicurezza e 28 di spoofing. Il conteggio riguarda soltanto le correzioni pubblicate nel giorno del Patch Tuesday e lascia fuori altri 348 difetti sistemati all’inizio del mese in servizi come Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Microsoft Dataverse, Microsoft Exchange Server e Microsoft Partner Center. Dietro un volume così alto c’è anche la scelta di Redmond di affidarsi sempre di più a piattaforme di intelligenza artificiale per individuare e risolvere le vulnerabilità nei propri prodotti.
Lo stesso giorno ha portato con sé un’altra novità importante per molti utenti. Windows 11 versione 24H2 nelle edizioni Home e Pro e Windows 10 Enterprise LTSB 2016 hanno raggiunto la fine del supporto. Microsoft lo ha messo nero su bianco spiegando che l’aggiornamento di sicurezza mensile di ottobre 2026 è l’ultimo disponibile per queste edizioni. All’inizio del mese l’azienda aveva già avvisato le organizzazioni che usano Windows 11 23H2 nelle versioni Enterprise, Education e IoT Enterprise di passare a release più recenti, dato che dal mese prossimo non riceveranno più patch di sicurezza. Sul fronte delle novità non legate alla sicurezza sono arrivati gli aggiornamenti cumulativi KB5127648 e KB5126653 per Windows 11 e l’aggiornamento di sicurezza esteso KB5126657 per Windows 10.
Le tre falle zero day corrette questo mese
Microsoft considera zero day una vulnerabilità divulgata pubblicamente oppure sfruttata attivamente quando non esiste ancora una correzione ufficiale. Quella già usata dagli aggressori riguarda Windows Shell e permetteva di aggirare la protezione Mark of the Web. Secondo l’azienda il problema nasce da una gestione impropria di elementi speciali nei comandi, la classica iniezione di comandi, che consente a un aggressore non autorizzato di scavalcare una funzione di sicurezza attraverso la rete. Non sono stati forniti dettagli su come la falla sia stata sfruttata né su chi l’abbia segnalata.
Il primo dei due difetti resi pubblici tocca invece .NET Framework e può essere usato per avviare applicazioni non autorizzate. Alla base c’è un percorso di ricerca non attendibile che permette a un aggressore autenticato di aggirare localmente le restrizioni di Windows Defender Application Control. In pratica basta collocare sul sistema un assembly .NET costruito ad hoc e registrarlo affinché venga caricato da un processo protetto. Se l’attacco va a segno il codice gira all’interno di quel processo e non serve alcuna interazione da parte dell’utente. La scoperta porta la firma di James Forshaw di Google Project Zero.
L’ultima falla riguarda la libreria MessagePack per C# e apre la strada a un attacco di negazione del servizio. Il problema deriva da un’allocazione sequenziale della memoria non controllata correttamente in .NET, sfruttabile da un aggressore non autorizzato tramite la rete. Anche in questo caso Microsoft non ha rivelato chi abbia segnalato il difetto.
Arrivano i gruppi di rischio per decidere le priorità
Con un numero di correzioni così elevato Microsoft ha introdotto un nuovo metodo per aiutare le organizzazioni a stabilire l’ordine di installazione delle patch. Si chiama risk cohorts e raggruppa le vulnerabilità simili per far capire più facilmente quali rappresentino il pericolo maggiore per i sistemi aziendali. Per ottobre 2026 i gruppi pubblicati sono 15. Tra i più corposi figurano 136 falle legate a filesystem, archiviazione e backup di Windows, 135 relative a documenti Office e client di posta, 131 che riguardano grafica, contenuti multimediali ed elaborazione dei contenuti, 109 collegate ai confini dei privilegi del kernel e del nucleo di Windows e 103 che toccano i servizi di installazione, distribuzione e aggiornamento.
L’azienda ha precisato che questi raggruppamenti non indicano per forza le falle più pericolose. Il rischio reale dipende infatti dall’eventuale sfruttamento negli attacchi, dalla gravità del difetto e dal modo in cui ogni organizzazione utilizza il software coinvolto. Il sistema è ancora in fase sperimentale e nasce come supporto alle raccomandazioni già esistenti, senza sostituirle. Microsoft ha anche pubblicato un documento PDF che associa ciascuna vulnerabilità di ottobre 2026 al gruppo di rischio corrispondente.
Fonte: TecnoAndroid