Patch Tuesday di ottobre 2026: 1.413 CVE, 1 zero-day sfruttato

La release del Patch Tuesday di Microsoft di ottobre 2026 risolve 1.413 CVE Microsoft, stabilendo un nuovo record appena un mese dopo il precedente massimo di 974 di settembre. Si tratta di un aumento di circa il 45% rispetto al mese precedente. La release interessa Windows, Microsoft 365 e le app di Office, SharePoint Server, SQL Server, Exchange Server, Azure, Defender e gli strumenti per sviluppatori. Microsoft sta inoltre ripubblicando una CVE non Microsoft.

Una vulnerabilità è già attivamente sfruttata: CVE-2026-96951, un aggiramento di una funzionalità di sicurezza in Windows Shell. Una seconda, CVE-2026-108398 nel .NET Framework, è stata divulgata pubblicamente, quindi i dettagli tecnici sono già disponibili anche se Microsoft non ha ancora osservato attacchi. Entrambe sono classificate come Importante, il che rafforza il motivo per cui lo stato di sfruttamento dovrebbe avere la priorità rispetto alle sole etichette di gravità.

Con oltre 1.400 CVE Microsoft da valutare, i team IT hanno bisogno di un rollout basato sul rischio che parta dalle vulnerabilità che gli aggressori hanno più probabilità di sfruttare e dai sistemi in cui una compromissione causerebbe i danni maggiori.

Analisi delle patch Microsoft di ottobre 2026

Dei 1.408 CVE con valutazioni di gravità, Microsoft ne ha classificati 78 come critici, 1.329 come importanti e 1 come moderato. Tutti i 1.408 richiedono un intervento del cliente sotto forma di installazione di un aggiornamento.

L'elevazione dei privilegi e l'esecuzione di codice in modalità remota rappresentano circa il 70% della release:

Le falle di elevazione dei privilegi possono trasformare un accesso limitato nel pieno controllo di un sistema, e le falle di esecuzione di codice in remoto possono fornire quell'accesso iniziale. Con quasi 1.000 vulnerabilità di questi due tipi in una sola release, i team IT devono sapere quali sistemi interessati sono esposti e quali dispongono di accessi privilegiati.

Dove si concentrano le vulnerabilità

Windows rappresenta più di tre quarti dei CVE di questo mese. Office e SharePoint Server insieme ne aggiungono altri 170, e gli strumenti di sviluppo ne rappresentano 61 distribuiti su 60 aggiornamenti separati.

I dati pubblicati da Microsoft per questa release differiscono leggermente: le note di rilascio indicano 1.413 CVE, la suddivisione per famiglia di prodotti totalizza 1.414 e l’elenco dei CVE pubblicato ne contiene 1.411. Questo articolo utilizza 1.413, il dato riportato nelle note di rilascio di Microsoft.

Una zero-day sfruttata e una vulnerabilità divulgata pubblicamente

Microsoft ha segnalato questo mese due CVE con designazioni speciali di sfruttabilità. Entrambe sono vulnerabilità di bypass delle funzionalità di sicurezza classificate come Importanti.

Le vulnerabilità di aggiramento delle funzionalità di sicurezza raramente completano un attacco da sole. Di solito agiscono insieme a un'altra falla, come l'esecuzione di codice da remoto o l'elevazione dei privilegi, rimuovendo una protezione che altrimenti bloccherebbe o segnalerebbe il passaggio successivo. Applicare le patch chiude un passaggio che gli aggressori potrebbero già star sfruttando.

CVE-2026-96951 dovrebbe essere corretta per prima su ogni endpoint Windows, indipendentemente dalla sua classificazione come Importante. Con Mark of the Web aggirato, un file dannoso inviato tramite email o chat può aprirsi senza gli avvisi che gli utenti vedono normalmente. L'utente deve comunque aprire il file, quindi questa falla si combina naturalmente con il phishing e con le vulnerabilità basate su file trattate più avanti in questo post.

CVE-2026-108398 non è stata sfruttata, ma poiché è stata divulgata pubblicamente, i dettagli tecnici sono già disponibili. Questo aumenta le probabilità di sfruttamento. Un attaccante deve prima disporre di un account sul sistema, quindi questo aggiornamento è particolarmente importante per le organizzazioni che si affidano a Windows Defender Application Control o a soluzioni simili di allowlisting per contenere un intruso che ha già ottenuto un punto d'appoggio.

Nessuna delle due CVE compare nel catalogo Known Exploited Vulnerabilities del CISA al momento della pubblicazione. Spesso vengono aggiunti altri elementi entro pochi giorni da una designazione come questa, quindi controlla il catalogo mentre pianifichi il rollout.

Vulnerabilità critiche da dare priorità in seguito

Questo mese Microsoft ha classificato 78 vulnerabilità come critiche. Sessantacinque sono vulnerabilità di esecuzione di codice da remoto, mentre le restanti 13 riguardano l'elevazione dei privilegi o lo spoofing. Invece di trattarle come un unico gruppo, assegna loro la priorità in base all'infrastruttura interessata, a quanto è esposta e a ciò che una compromissione metterebbe a rischio.

Windows DHCP e servizi di rete esposti

Cinque vulnerabilità critiche di esecuzione di codice in modalità remota interessano Windows DHCP Server:

• CVE-2026-96934

• CVE-2026-88117

• CVE-2026-88120

• CVE-2026-88119

• CVE-2026-88171

Il server DHCP è comunemente raggiungibile attraverso i segmenti della rete interna, il che lo rende un frequente punto di appoggio per una compromissione estesa all’intera rete. La release include anche una vulnerabilità critica di esecuzione di codice da remoto nel DHCP Client (CVE-2026-70250).

Diversi altri servizi esposti alla rete presentano questo mese vulnerabilità critiche di esecuzione di codice da remoto:

QUIC è alla base di HTTP/3 e di altri trasporti di rete, quindi queste falle sono particolarmente rilevanti per i carichi di lavoro Windows Server esposti a internet. Remote Desktop Gateway si trova al confine di molte implementazioni di accesso remoto. Individua dove questi servizi sono abilitati e porta i sistemi raggiungibili dall'esterno in cima alla coda.

Infrastruttura di identità e certificati

Vulnerabilità critiche interessano anche i servizi che controllano l'autenticazione, la federazione e la registrazione dei certificati:

Ciascuna compare una sola volta nella release, ma ognuna colpisce un obiettivo di alto valore. Un controller di dominio o un servizio di registrazione dei certificati compromesso può dare a un attaccante accesso all’intero ambiente. Lo spoofing di AD FS può compromettere il rapporto di fiducia del single sign-on federato da cui dipendono molte organizzazioni. I controller di dominio, i server AD FS e i server NDES dovrebbero essere tra i primi server da valutare dopo la zero-day sfruttata.

Exchange Server e infrastruttura di distribuzione

Exchange Server (CVE-2026-70571) e Windows Deployment Services (CVE-2026-88174) presentano entrambi una vulnerabilità critica di esecuzione di codice da remoto. SharePoint Server presenta una vulnerabilità critica di elevazione dei privilegi (CVE-2026-102866).

Exchange e SharePoint spesso contengono dati aziendali sensibili e si collegano ad altre risorse interne. I servizi di distribuzione possono influire su ogni endpoint che si affida a essi per l'imaging o il provisioning. Dai priorità alle distribuzioni con esposizione esterna o accesso a dati di alto valore.

Hyper-V e VBS Enclave

Gli aggiornamenti di questo mese includono esecuzione di codice a livello host in Hyper-V e vulnerabilità critiche di elevazione dei privilegi in Windows Virtualization-Based Security (VBS) Enclave e nei componenti principali del kernel.

Gli host Hyper-V spesso supportano carichi di lavoro di produzione con rigorosi requisiti di disponibilità. Usa test graduali e finestre di manutenzione coordinate dove un rollout immediato potrebbe interrompere i servizi, ma non lasciare che queste finestre ritardino troppo a lungo le patch a livello host.

Microsoft 365 e applicazioni Office

Le applicazioni Office rappresentano 34 delle vulnerabilità critiche di esecuzione di codice in modalità remota di questo mese:

Excel si distingue, con una concentrazione insolitamente elevata di falle critiche in una singola app. I documenti dannosi restano uno dei percorsi più comuni, guidati dal phishing, per entrare negli ambienti degli utenti. Questo rischio è maggiore questo mese perché il bypass sfruttato di Mark of the Web può eliminare gli avvisi che normalmente gli utenti vedrebbero sui file scaricati. Visio è spesso più in basso nelle liste di priorità delle patch rispetto a Word, Excel o Outlook, ma comporta lo stesso rischio basato sui documenti.

File multimediali, grafica e driver di stampa

Dieci vulnerabilità critiche di esecuzione di codice da remoto interessano componenti multimediali, grafici e di rendering dei documenti, tra cui Media Foundation, GDI+, Codecs, Windows PDF, Text Shaping e Raw Image Extension (CVE-2026-96202 e CVE-2026-96943). Queste possono essere attivate aprendo un'immagine, un video, un font o un PDF appositamente predisposti, senza macro o scripting.

Anche il driver di stampa PostScript presenta tre vulnerabilità Critiche di esecuzione di codice da remoto: CVE-2026-70153, CVE-2026-70147 e CVE-2026-108467. I driver di stampa sono ampiamente distribuiti e facili da trascurare nei cicli di patch, quindi verifica che siano inclusi nello stesso rollout del resto della release.

Come dare priorità alle patch di ottobre 2026

Non esiste una tempistica fissa adatta a ogni ambiente. Usa questi livelli come punto di partenza, poi adattali in base all’esposizione, all’impatto sul business e ai requisiti di test.

Applica la patch entro 72 ore

• CVE-2026-96951 (Windows Shell) su ogni endpoint Windows, seguita da CVE-2026-108398 (.NET Framework)

• Server DHCP e client DHCP di Windows

• Gateway Desktop remoto, NDES e Active Directory Domain Services

• Microsoft QUIC su carichi di lavoro Windows Server esposti a internet

• Exchange Server e SQL Server, iniziando dai sistemi raggiungibili dall'esterno o dai sistemi che contengono dati sensibili

• host Hyper-V

• Qualsiasi CVE successivamente aggiunto al catalogo KEV di CISA o contrassegnato come Exploitation More Likely

Applica la patch entro 1 o 2 settimane

• Applicazioni Office, a partire da Excel, quindi Outlook, PowerPoint, Word e Visio

• Vulnerabilità di elevazione dei privilegi del kernel e di VBS Enclave

• Componenti multimediali, grafici e di rendering dei documenti, oltre al PostScript Printer Driver

• Visual Studio, Visual Studio Code e .NET sulle workstation degli sviluppatori

• Vulnerabilità di elevazione dei privilegi in Azure ed Entra

L'esposizione dovrebbe comunque avere la precedenza sulla tempistica predefinita. Gli utenti che aprono regolarmente documenti esterni potrebbero aver bisogno prima degli aggiornamenti di Office.

Ciclo regolare di patch

• Vulnerabilità importanti di elevazione dei privilegi e divulgazione di informazioni in componenti con esposizione limitata

• Problemi relativi all'accesso solo locale e ai driver di dispositivo su sistemi con accesso fisico limitato

• Sistemi non esposti a internet con controlli compensativi in atto

Aggiornamenti degni di nota di terze parti

Questo mese Microsoft sta ripubblicando una sola CVE non Microsoft, in calo rispetto alle 25 di settembre: CVE-2026-21413, una vulnerabilità di esecuzione di codice in remoto in Raw Image Extension attribuita a Cisco Talos. Interessa lo stesso componente delle due falle critiche di Raw Image Extension di proprietà Microsoft trattate sopra (CVE-2026-96202 e CVE-2026-96943), quindi tutte e tre possono essere gestite come un unico intervento di correzione.

Microsoft Edge non ha rilasciato nuovi CVE in questa release. I team dovrebbero comunque verificare gli aggiornamenti di browser, strumenti per sviluppatori e applicazioni di terze parti secondo le proprie pianificazioni e mantenerli nello stesso flusso di gestione delle vulnerabilità degli aggiornamenti del sistema operativo. Processi separati possono lasciare punti ciechi anche quando le patch di Windows sono aggiornate.

Perché il Patch Tuesday di ottobre è importante per i team IT

La release di ottobre solleva due problemi operativi che vanno oltre ogni singolo CVE.

1. Il volume dei record rende irrealistico il triage manuale

Questo è il secondo rilascio consecutivo da record e il salto da 974 a 1.413 CVE in un solo mese lascia poco spazio a una revisione manuale. I team devono sapere rapidamente quali dispositivi eseguono il software interessato, quali vulnerabilità vengono sfruttate e quali sistemi supportano identità, accesso remoto o carichi di lavoro critici. Dipende da un inventario accurato di hardware e software.

Anche Microsoft sta rispondendo al volume. Con questa release ha introdotto i cohort di rischio, un modo sperimentale di raggruppare CVE correlate attorno a domande condivise sull’esposizione, come quali sistemi elaborano file non attendibili. Microsoft osserva che i cohort non classificano il livello di pericolo, quindi lo stato di sfruttamento e l’esposizione dovrebbero comunque determinare l’ordine delle attività.

2. Alcuni sistemi hanno appena ricevuto il loro ultimo aggiornamento di sicurezza

L'aggiornamento di ottobre è l'aggiornamento di sicurezza finale per Windows 11 versione 24H2 Home e Pro e per Windows 10 Enterprise LTSB 2016. Windows 11 versione 23H2 Enterprise, Education e IoT Enterprise raggiunge la fine degli aggiornamenti a novembre. I dispositivi che eseguono queste edizioni smettono di ricevere correzioni dopo la data di fine supporto, indipendentemente dalla rapidità con cui un team applica le patch. Identificali ora e pianifica gli aggiornamenti, perché la correzione zero-day di questo mese potrebbe essere l'ultima protezione che riceveranno.

Come Splashtop AEM può aiutarti a dare priorità alle patch e distribuirle

Una release con 1.413 CVE e uno zero-day sfruttato assegna ai team IT due compiti: individuare ciò che conta nel loro ambiente e distribuire rapidamente gli aggiornamenti giusti. Splashtop AEM (Autonomous Endpoint Management) gestisce entrambi da una console centralizzata.

• Individua i dispositivi esposti: Splashtop AEM esegue continuamente la scansione degli endpoint Windows e macOS alla ricerca di CVE, incluse le vulnerabilità nel catalogo Known Exploited Vulnerabilities di CISA, insieme allo stato delle patch e all'inventario hardware e software.

• Dai priorità a ciò che gli attaccanti stanno sfruttando: i riepiloghi delle CVE e i segnali di rischio basati sull'AI aiutano i team a portare vulnerabilità come CVE-2026-96951 davanti al resto del rilascio.

• Distribuisci e verifica più velocemente: l'applicazione di patch in tempo reale per il sistema operativo e le applicazioni di terze parti, le policy automatizzate, le finestre di manutenzione e gli anelli di aggiornamento consentono ai team di testare prima gli aggiornamenti di Office o del server su un gruppo più ristretto di dispositivi. I team possono quindi estendere la distribuzione e monitorare quali installazioni sono riuscite o non sono riuscite.

• Rafforza i flussi di lavoro esistenti: Splashtop AEM può migliorare Microsoft Intune aggiungendo patching in tempo reale, visibilità sulle CVE e remediation. I team che utilizzano un RMM possono usarlo per colmare le lacune nella visibilità delle patch e nell'automazione.

Anticipa l’elevato volume di Patch Tuesday con Splashtop AEM

Il rilascio di ottobre mostra quanto rapidamente la gestione delle patch diventi un problema di triage. Con 1.413 CVE e uno zero-day sfruttato nel gruppo, i team IT devono individuare i dispositivi esposti, distribuire prima gli aggiornamenti più urgenti e confermare che ogni endpoint sia coperto.

Avvia una prova gratuita di Splashtop AEM per vedere quali endpoint sono vulnerabili, dare priorità agli aggiornamenti ad alto rischio e distribuire le patch più rapidamente.