Patch Tuesday di settembre 2026: 974 CVE, 2 zero-day

La release del Patch Tuesday di Microsoft di settembre 2026 risolve 974 CVE di Microsoft, rendendola la più grande release del Patch Tuesday mai pubblicata fino a oggi. La release riguarda client e server Windows, app Microsoft 365, SQL Server, Exchange Server, Azure, strumenti di sviluppo, servizi di identità, componenti di accesso remoto e sottosistemi principali di Windows. Microsoft sta inoltre ripubblicando 25 CVE non Microsoft.

Due vulnerabilità sono già attivamente sfruttate: CVE-2026-85880 in Windows Advanced Local Procedure Call (ALPC) e CVE-2026-81963 nello stack di aggiornamento di Windows. Entrambe sono vulnerabilità di elevazione dei privilegi classificate come Important, il che rafforza il motivo per cui lo stato di sfruttamento dovrebbe avere la priorità rispetto alle sole etichette di gravità.

Con quasi 1.000 CVE Microsoft da valutare, i team IT hanno bisogno di un rollout basato sul rischio che tenga conto dello sfruttamento attivo, dell'esposizione del sistema, della criticità per il business e del ruolo che ciascun sistema interessato svolge nell'ambiente.

Analisi delle patch Microsoft di settembre 2026

Dei 973 CVE con informazioni dettagliate sulla gravità, Microsoft ne ha classificati 113 come Critici e 860 come Importanti. Microsoft indica che 964 richiedono un intervento da parte del cliente, mentre nove sono stati risolti all'interno dell'infrastruttura cloud di Microsoft.

L’elevazione dei privilegi e l’esecuzione di codice in remoto rappresentano la maggior parte di questa release:

L’elevato numero di vulnerabilità di elevazione dei privilegi e di esecuzione di codice in remoto rende particolarmente importante identificare i sistemi che hanno maggiori probabilità di fornire un percorso verso l’accesso con privilegi o una compromissione più ampia.

Dove si concentrano le vulnerabilità

Windows rappresenta la maggior parte delle vulnerabilità di questo mese, ma il rilascio interessa anche le applicazioni di produttività e l'infrastruttura server critica.

Due vulnerabilità zero-day attivamente sfruttate richiedono attenzione immediata

Microsoft ha confermato lo sfruttamento attivo di due vulnerabilità di aumento dei privilegi in Windows.

Le vulnerabilità di elevazione dei privilegi in genere richiedono che un attaccante abbia prima un qualche livello di accesso, ma possono aiutare a trasformare un accesso limitato nel controllo del sistema interessato. Poiché Microsoft ha già rilevato uno sfruttamento attivo, entrambe le vulnerabilità dovrebbero avere la precedenza rispetto alle vulnerabilità classificate in base alla sola gravità o al rischio teorico.

Vulnerabilità critiche da prioritizzare successivamente

Microsoft ha classificato 113 vulnerabilità come critiche, incluse 82 vulnerabilità di esecuzione di codice da remoto. Invece di trattarle come un unico gruppo uniforme, assegnagli la priorità in base all'infrastruttura interessata, alla sua esposizione e al potenziale impatto di una compromissione.

Server DNS di Windows

Sei vulnerabilità critiche di esecuzione di codice in remoto interessano Windows DNS Server:

• CVE-2026-69730

• CVE-2026-69827

• CVE-2026-69858

• CVE-2026-69813

• CVE-2026-77505

• CVE-2026-72987

Il DNS è fondamentale per le reti Windows e gli ambienti Active Directory. Dai priorità ai server DNS integrati nel dominio e a tutti i sistemi interessati raggiungibili da reti non attendibili.

Infrastruttura di identità e dominio

La release include vulnerabilità critiche di esecuzione di codice da remoto in diversi componenti al centro dell'autenticazione di Windows:

Kerberos, il Key Distribution Center e Netlogon supportano l'autenticazione in tutti i domini Windows. I controller di dominio e gli altri sistemi che supportano i servizi di identità dovrebbero quindi essere tra i primi server da valutare e correggere dopo i due zero-day sfruttati.

Accesso remoto e servizi di rete

CVE-2026-69518 interessa Windows Remote Desktop, mentre CVE-2026-69590, CVE-2026-72950, CVE-2026-72959 e CVE-2026-69852 interessano Windows Routing and Remote Access Service (RRAS).

Questi componenti possono creare un'esposizione ad alta priorità quando sono raggiungibili da internet, collegati a servizi VPN o accessibili da segmenti di rete meno affidabili. I team IT dovrebbero individuare dove sono abilitati i servizi interessati e portare in cima alla lista i sistemi raggiungibili dall'esterno o critici per l'azienda.

SQL Server e Exchange Server

Quattro vulnerabilità critiche di esecuzione di codice da remoto interessano Microsoft SQL Server:

• CVE-2026-67631

• CVE-2026-67378

• CVE-2026-67636

• CVE-2026-67643

I sistemi di database e messaggistica spesso contengono dati aziendali sensibili e possono operare con accesso privilegiato ad altre risorse. Esamina tempestivamente le distribuzioni di SQL Server ed Exchange Server interessate, dando priorità ai sistemi esposti esternamente, ai carichi di lavoro critici o a quelli con accesso a dati di alto valore.

Hyper-V, clustering di failover e infrastruttura di distribuzione

La release di settembre include anche vulnerabilità critiche di esecuzione di codice da remoto nell'infrastruttura che possono influire su più carichi di lavoro o sistemi a valle.

La tempistica delle patch dovrebbe tenere conto dei requisiti di disponibilità, ma la concentrazione di carichi di lavoro critici su questi sistemi rende rischioso ritardare la correzione. Usa test graduali e finestre di manutenzione coordinate quando una distribuzione immediata potrebbe interrompere i servizi di produzione.

Microsoft 365 e applicazioni Office

La release include tre vulnerabilità Critical di esecuzione di codice in remoto in Word, sei vulnerabilità Critical di esecuzione di codice in remoto in Excel e quattro vulnerabilità Critical di esecuzione di codice in remoto in Outlook.

Le applicazioni Office restano importanti perché file dannosi e contenuti email possono fornire un percorso iniziale di accesso agli ambienti utente. In generale, questi aggiornamenti dovrebbero seguire le vulnerabilità già sfruttate e l'infrastruttura esposta, ma le organizzazioni con frequenti scambi di documenti con l'esterno o gruppi di utenti a rischio più elevato potrebbero dover accelerarne la distribuzione.

Come dare priorità alle patch di settembre 2026

Non esiste una tempistica fissa adatta a ogni ambiente. Usa i seguenti livelli come punto di partenza, poi adattali in base all'esposizione, alle risorse interessate, all'impatto sul business, alle mitigazioni disponibili e ai requisiti di test.

Applica la patch entro 72 ore

Dai priorità a:

• CVE-2026-85880 e CVE-2026-81963 perché Microsoft ha confermato uno sfruttamento attivo

• Vulnerabilità di Windows DNS Server su sistemi integrati nel dominio o raggiungibili dall’esterno

• Aggiornamenti di Kerberos, Netlogon, Key Distribution Center e Active Directory Domain Services sull'infrastruttura di identità

• Vulnerabilità di Windows Remote Desktop e RRAS sui sistemi esposti o accessibili da remoto

• Vulnerabilità critiche di SQL Server e Exchange Server che interessano carichi di lavoro sensibili o accessibili dall'esterno

• Vulnerabilità di Windows Deployment Services, Failover Cluster e Hyper-V nell'infrastruttura critica

• Qualsiasi vulnerabilità successivamente contrassegnata come Exploitation More Likely o aggiunta al catalogo CISA Known Exploited Vulnerabilities

Sposta i sistemi esposti a internet, i controller di dominio, i gateway VPN, i servizi di accesso remoto e i sistemi che gestiscono credenziali privilegiate o carichi di lavoro critici all'inizio di questo livello.

Applica la patch entro 1 o 2 settimane

Dai priorità a:

• Vulnerabilità di esecuzione di codice da remoto in Microsoft Word, Excel, PowerPoint, Outlook e SharePoint

• Vulnerabilità lato client relative a contenuti multimediali, grafica, codec, WebP, imaging e altri componenti

• Windows Hello, Credential Guard e altre vulnerabilità di elevazione dei privilegi legate all'autenticazione

• Sistemi di virtualizzazione e archiviazione che non sono esposti all'edge

• Aggiornamenti di Visual Studio, Visual Studio Code, PowerShell e .NET sugli endpoint degli sviluppatori

L'esposizione e il ruolo aziendale dovrebbero comunque avere la precedenza sulla tempistica predefinita. Ad esempio, un gruppo di utenti ad alto rischio che riceve abitualmente documenti esterni potrebbe aver bisogno degli aggiornamenti di Office prima.

Ciclo regolare di patch

Includi:

• Vulnerabilità di minore gravità in componenti con esposizione limitata

• Vulnerabilità accessibili solo localmente su sistemi strettamente controllati

• Problemi relativi a periferiche e driver di dispositivo su dispositivi con accesso fisico limitato

• Sistemi non esposti a Internet protetti da controlli compensativi efficaci

La sola gravità non dovrebbe determinare l'ordine di applicazione delle patch. Lo sfruttamento confermato, il percorso di attacco, l'esposizione del sistema, i privilegi richiesti, la criticità per l'azienda e il potenziale effetto su altri sistemi offrono una base più utile per definire le priorità.

Aggiornamenti di terze parti degni di nota

Microsoft sta ripubblicando 25 CVE non Microsoft insieme alla release di questo mese. Le organizzazioni che gestiscono Microsoft Edge secondo il suo ciclo di rilascio basato su Chromium dovrebbero verificare in modo indipendente i relativi aggiornamenti del browser.

Gli aggiornamenti del browser, degli strumenti per sviluppatori, delle dipendenze open-source e delle applicazioni di terze parti dovrebbero rimanere parte dello stesso flusso di lavoro di gestione delle vulnerabilità degli aggiornamenti del sistema operativo. Processi separati possono creare punti ciechi anche quando il patching di Windows è aggiornato.

Perché il Patch Tuesday di settembre è importante per i team IT

La release di settembre è più di un grande evento di patching. Mette in luce tre sfide operative che i team IT devono affrontare.

1. Il volume rende irrealistica la definizione manuale delle priorità

Quasi 1.000 CVE Microsoft non possono avere tutte lo stesso livello di urgenza. I team IT devono determinare quali asset sono interessati, quali vulnerabilità vengono sfruttate e quali sistemi supportano l'identità, l'accesso remoto, i database, la collaborazione o i carichi di lavoro critici.

Questa valutazione dipende da un inventario accurato delle risorse e del software. Senza di esso, i team potrebbero dedicare tempo ad aggiornamenti a rischio inferiore mentre i sistemi esposti rimangono vulnerabili.

2. L'infrastruttura enterprise di base è fortemente rappresentata

Gli aggiornamenti di settembre interessano contemporaneamente servizi di identità, DNS, accesso remoto, database, messaggistica, virtualizzazione e sistemi operativi degli endpoint. Questo crea priorità sovrapposte tra server e dispositivi utente, con requisiti diversi di test e manutenzione per ciascuno.

Una distribuzione graduale può aiutare i team a intervenire rapidamente sui sistemi più esposti, testando al contempo aggiornamenti più ampi prima della distribuzione in tutta l'organizzazione.

3. La verifica delle patch è importante quanto la distribuzione

L'invio di un aggiornamento non dimostra che ogni dispositivo sia protetto. I sistemi potrebbero essere offline, le installazioni potrebbero non riuscire oppure gli endpoint potrebbero perdere una finestra di distribuzione.

I team IT devono vedere quali dispositivi restano vulnerabili, quali patch sono state applicate con successo, quali hanno avuto esito negativo e quali sistemi richiedono un altro tentativo di distribuzione o ulteriori interventi di correzione.

Come Splashtop AEM può aiutarti a stabilire le priorità e distribuire le patch

Una release del Patch Tuesday con 974 CVE Microsoft crea due sfide immediate: identificare ciò che conta nel tuo ambiente e distribuire rapidamente gli aggiornamenti giusti. Splashtop AEM aiuta i team IT a gestire entrambi da una console centralizzata.

• Scopri dove si trova il rischio: Splashtop AEM offre visibilità centralizzata su vulnerabilità, stato delle patch, inventario hardware e software e stato di salute degli endpoint. I team IT possono usare questo contesto per identificare i dispositivi interessati e capire dove è necessaria una correzione urgente.

• Dai priorità alle vulnerabilità più importanti: gli insight sui CVE e le informazioni a livello di endpoint aiutano i team a concentrarsi sulle vulnerabilità sfruttate, sul software ad alto rischio, sui sistemi critici e sui dispositivi che supportano funzioni sensibili come l'identità o l'accesso remoto.

• Distribuisci gli aggiornamenti più rapidamente: Splashtop AEM supporta patching in tempo reale, criteri di patch automatici, distribuzione pianificata e roll-out basati su anelli. I team possono testare gli aggiornamenti con un gruppo più piccolo di dispositivi, ampliare la distribuzione in fasi e monitorare il successo o il fallimento senza perdere visibilità sull'intero ambiente.

• Rafforza i flussi di lavoro di patching esistenti: I team che gestiscono ancora manualmente alcune parti del patching possono automatizzare le attività ripetitive di distribuzione e verifica. Splashtop AEM può potenziare Microsoft Intune aggiungendo patching in tempo reale, visibilità sulle CVE e funzionalità di correzione al loro ambiente esistente. Le organizzazioni che utilizzano un RMM possono usare Splashtop AEM per migliorare la visibilità delle patch, l'automazione e i flussi di lavoro degli endpoint dove sono necessarie funzionalità aggiuntive.

Rispondi più rapidamente alle vulnerabilità ad alto rischio con Splashtop AEM

Il Patch Tuesday da record di settembre mostra quanto rapidamente la gestione delle patch diventi un problema di definizione delle priorità e verifica. I team IT devono identificare i dispositivi esposti, distribuire gli aggiornamenti urgenti e confermare la risoluzione senza perdere di vista i sistemi negli ambienti distribuiti.

Splashtop AEM riunisce in un’unica piattaforma visibilità sui CVE, patching in tempo reale, automazione, monitoraggio dello stato delle patch e informazioni dettagliate sugli endpoint.

Avvia una prova gratuita di Splashtop AEM per identificare gli endpoint vulnerabili, dare priorità agli aggiornamenti ad alto rischio e distribuire le patch più rapidamente.