La release del Patch Tuesday di Microsoft di settembre 2026 risolve 974 CVE di Microsoft, rendendola la più grande release del Patch Tuesday mai pubblicata fino a oggi. La release riguarda client e server Windows, app Microsoft 365, SQL Server, Exchange Server, Azure, strumenti di sviluppo, servizi di identità, componenti di accesso remoto e sottosistemi principali di Windows. Microsoft sta inoltre ripubblicando 25 CVE non Microsoft.
Due vulnerabilità sono già attivamente sfruttate: CVE-2026-85880 in Windows Advanced Local Procedure Call (ALPC) e CVE-2026-81963 nello stack di aggiornamento di Windows. Entrambe sono vulnerabilità di elevazione dei privilegi classificate come Important, il che rafforza il motivo per cui lo stato di sfruttamento dovrebbe avere la priorità rispetto alle sole etichette di gravità.
Con quasi 1.000 CVE Microsoft da valutare, i team IT hanno bisogno di un rollout basato sul rischio che tenga conto dello sfruttamento attivo, dell'esposizione del sistema, della criticità per il business e del ruolo che ciascun sistema interessato svolge nell'ambiente.
Analisi delle patch Microsoft di settembre 2026
Dei 973 CVE con informazioni dettagliate sulla gravità, Microsoft ne ha classificati 113 come Critici e 860 come Importanti. Microsoft indica che 964 richiedono un intervento da parte del cliente, mentre nove sono stati risolti all'interno dell'infrastruttura cloud di Microsoft.
Categoria | Settembre 2026 |
CVE Microsoft risolte | 974 |
Critico | 113 |
Importante | 860 |
CVE che richiedono un'azione da parte del cliente | 964 |
Zero-day sfruttati attivamente | 2 |
Vulnerabilità critiche di esecuzione di codice da remoto | 82 |
CVE non Microsoft ripubblicati | 25 |
L’elevazione dei privilegi e l’esecuzione di codice in remoto rappresentano la maggior parte di questa release:
Tipo di vulnerabilità | Conteggio |
Escalation dei privilegi | 438 |
Esecuzione di codice da remoto | 258 |
Divulgazione di informazioni | 173 |
Interruzione del servizio | 56 |
Bypass delle funzionalità di sicurezza | 19 |
Spoofing | 16 |
Manomissione | 13 |
L’elevato numero di vulnerabilità di elevazione dei privilegi e di esecuzione di codice in remoto rende particolarmente importante identificare i sistemi che hanno maggiori probabilità di fornire un percorso verso l’accesso con privilegi o una compromissione più ampia.
Dove si concentrano le vulnerabilità
Windows rappresenta la maggior parte delle vulnerabilità di questo mese, ma il rilascio interessa anche le applicazioni di produttività e l'infrastruttura server critica.
Famiglia di prodotti | Vulnerabilità risolte | Aggiornamenti distinti |
Windows | 723 | 32 |
Office | 111 | 11 |
Office 2016 | 111 | 18 |
SQL Server | 62 | 1 |
Strumenti per sviluppatori | 22 | 36 |
SharePoint Server | 16 | 3 |
Azure | 12 | 4 |
Skype for Business | 10 | 3 |
Exchange Server | 9 | 4 |
Altro | 9 | 9 |
Due vulnerabilità zero-day attivamente sfruttate richiedono attenzione immediata
Microsoft ha confermato lo sfruttamento attivo di due vulnerabilità di aumento dei privilegi in Windows.
CVE | Componente interessato | Gravità | Stato dell'exploit | Perché è importante |
CVE-2026-85880 | Procedura di chiamata locale avanzata di Windows | Importante | Sfruttamento rilevato | Uno sfruttamento riuscito può consentire a un attaccante di elevare i privilegi da un contesto utente standard a SYSTEM. |
CVE-2026-81963 | Stack di Windows Update | Importante | Sfruttamento rilevato | Uno sfruttamento riuscito può concedere a un attaccante privilegi elevati e un maggiore controllo su un sistema Windows compromesso. |
Le vulnerabilità di elevazione dei privilegi in genere richiedono che un attaccante abbia prima un qualche livello di accesso, ma possono aiutare a trasformare un accesso limitato nel controllo del sistema interessato. Poiché Microsoft ha già rilevato uno sfruttamento attivo, entrambe le vulnerabilità dovrebbero avere la precedenza rispetto alle vulnerabilità classificate in base alla sola gravità o al rischio teorico.
Vulnerabilità critiche da prioritizzare successivamente
Microsoft ha classificato 113 vulnerabilità come critiche, incluse 82 vulnerabilità di esecuzione di codice da remoto. Invece di trattarle come un unico gruppo uniforme, assegnagli la priorità in base all'infrastruttura interessata, alla sua esposizione e al potenziale impatto di una compromissione.
Server DNS di Windows
Sei vulnerabilità critiche di esecuzione di codice in remoto interessano Windows DNS Server:
CVE-2026-69730
CVE-2026-69827
CVE-2026-69858
CVE-2026-69813
CVE-2026-77505
CVE-2026-72987
Il DNS è fondamentale per le reti Windows e gli ambienti Active Directory. Dai priorità ai server DNS integrati nel dominio e a tutti i sistemi interessati raggiungibili da reti non attendibili.
Infrastruttura di identità e dominio
La release include vulnerabilità critiche di esecuzione di codice da remoto in diversi componenti al centro dell'autenticazione di Windows:
CVE | Componente interessato |
CVE-2026-69712 | Windows Key Distribution Center |
CVE-2026-69676 | Windows Kerberos |
CVE-2026-72982 | Windows Netlogon |
Kerberos, il Key Distribution Center e Netlogon supportano l'autenticazione in tutti i domini Windows. I controller di dominio e gli altri sistemi che supportano i servizi di identità dovrebbero quindi essere tra i primi server da valutare e correggere dopo i due zero-day sfruttati.
Accesso remoto e servizi di rete
CVE-2026-69518 interessa Windows Remote Desktop, mentre CVE-2026-69590, CVE-2026-72950, CVE-2026-72959 e CVE-2026-69852 interessano Windows Routing and Remote Access Service (RRAS).
Questi componenti possono creare un'esposizione ad alta priorità quando sono raggiungibili da internet, collegati a servizi VPN o accessibili da segmenti di rete meno affidabili. I team IT dovrebbero individuare dove sono abilitati i servizi interessati e portare in cima alla lista i sistemi raggiungibili dall'esterno o critici per l'azienda.
SQL Server e Exchange Server
Quattro vulnerabilità critiche di esecuzione di codice da remoto interessano Microsoft SQL Server:
CVE-2026-67631
CVE-2026-67378
CVE-2026-67636
CVE-2026-67643
I sistemi di database e messaggistica spesso contengono dati aziendali sensibili e possono operare con accesso privilegiato ad altre risorse. Esamina tempestivamente le distribuzioni di SQL Server ed Exchange Server interessate, dando priorità ai sistemi esposti esternamente, ai carichi di lavoro critici o a quelli con accesso a dati di alto valore.
Hyper-V, clustering di failover e infrastruttura di distribuzione
La release di settembre include anche vulnerabilità critiche di esecuzione di codice da remoto nell'infrastruttura che possono influire su più carichi di lavoro o sistemi a valle.
CVE | Componente interessato | Problema operativo |
CVE-2026-80083, CVE-2026-69603 | Windows Hyper-V | Un host vulnerabile può mettere a rischio più carichi di lavoro guest. |
CVE-2026-78444, CVE-2026-73010 | Windows Failover Cluster | I sistemi cluster supportano spesso servizi di produzione ad alta disponibilità. |
CVE-2026-72954, CVE-2026-72957 | Windows Deployment Services | L'infrastruttura di distribuzione può influenzare molti endpoint che dipendono da essa per l'imaging o il provisioning. |
La tempistica delle patch dovrebbe tenere conto dei requisiti di disponibilità, ma la concentrazione di carichi di lavoro critici su questi sistemi rende rischioso ritardare la correzione. Usa test graduali e finestre di manutenzione coordinate quando una distribuzione immediata potrebbe interrompere i servizi di produzione.
Microsoft 365 e applicazioni Office
La release include tre vulnerabilità Critical di esecuzione di codice in remoto in Word, sei vulnerabilità Critical di esecuzione di codice in remoto in Excel e quattro vulnerabilità Critical di esecuzione di codice in remoto in Outlook.
Le applicazioni Office restano importanti perché file dannosi e contenuti email possono fornire un percorso iniziale di accesso agli ambienti utente. In generale, questi aggiornamenti dovrebbero seguire le vulnerabilità già sfruttate e l'infrastruttura esposta, ma le organizzazioni con frequenti scambi di documenti con l'esterno o gruppi di utenti a rischio più elevato potrebbero dover accelerarne la distribuzione.
Come dare priorità alle patch di settembre 2026
Non esiste una tempistica fissa adatta a ogni ambiente. Usa i seguenti livelli come punto di partenza, poi adattali in base all'esposizione, alle risorse interessate, all'impatto sul business, alle mitigazioni disponibili e ai requisiti di test.
Applica la patch entro 72 ore
Dai priorità a:
CVE-2026-85880 e CVE-2026-81963 perché Microsoft ha confermato uno sfruttamento attivo
Vulnerabilità di Windows DNS Server su sistemi integrati nel dominio o raggiungibili dall’esterno
Aggiornamenti di Kerberos, Netlogon, Key Distribution Center e Active Directory Domain Services sull'infrastruttura di identità
Vulnerabilità di Windows Remote Desktop e RRAS sui sistemi esposti o accessibili da remoto
Vulnerabilità critiche di SQL Server e Exchange Server che interessano carichi di lavoro sensibili o accessibili dall'esterno
Vulnerabilità di Windows Deployment Services, Failover Cluster e Hyper-V nell'infrastruttura critica
Qualsiasi vulnerabilità successivamente contrassegnata come Exploitation More Likely o aggiunta al catalogo CISA Known Exploited Vulnerabilities
Sposta i sistemi esposti a internet, i controller di dominio, i gateway VPN, i servizi di accesso remoto e i sistemi che gestiscono credenziali privilegiate o carichi di lavoro critici all'inizio di questo livello.
Applica la patch entro 1 o 2 settimane
Dai priorità a:
Vulnerabilità di esecuzione di codice da remoto in Microsoft Word, Excel, PowerPoint, Outlook e SharePoint
Vulnerabilità lato client relative a contenuti multimediali, grafica, codec, WebP, imaging e altri componenti
Windows Hello, Credential Guard e altre vulnerabilità di elevazione dei privilegi legate all'autenticazione
Sistemi di virtualizzazione e archiviazione che non sono esposti all'edge
Aggiornamenti di Visual Studio, Visual Studio Code, PowerShell e .NET sugli endpoint degli sviluppatori
L'esposizione e il ruolo aziendale dovrebbero comunque avere la precedenza sulla tempistica predefinita. Ad esempio, un gruppo di utenti ad alto rischio che riceve abitualmente documenti esterni potrebbe aver bisogno degli aggiornamenti di Office prima.
Ciclo regolare di patch
Includi:
Vulnerabilità di minore gravità in componenti con esposizione limitata
Vulnerabilità accessibili solo localmente su sistemi strettamente controllati
Problemi relativi a periferiche e driver di dispositivo su dispositivi con accesso fisico limitato
Sistemi non esposti a Internet protetti da controlli compensativi efficaci
La sola gravità non dovrebbe determinare l'ordine di applicazione delle patch. Lo sfruttamento confermato, il percorso di attacco, l'esposizione del sistema, i privilegi richiesti, la criticità per l'azienda e il potenziale effetto su altri sistemi offrono una base più utile per definire le priorità.
Aggiornamenti di terze parti degni di nota
Microsoft sta ripubblicando 25 CVE non Microsoft insieme alla release di questo mese. Le organizzazioni che gestiscono Microsoft Edge secondo il suo ciclo di rilascio basato su Chromium dovrebbero verificare in modo indipendente i relativi aggiornamenti del browser.
Gli aggiornamenti del browser, degli strumenti per sviluppatori, delle dipendenze open-source e delle applicazioni di terze parti dovrebbero rimanere parte dello stesso flusso di lavoro di gestione delle vulnerabilità degli aggiornamenti del sistema operativo. Processi separati possono creare punti ciechi anche quando il patching di Windows è aggiornato.
Perché il Patch Tuesday di settembre è importante per i team IT
La release di settembre è più di un grande evento di patching. Mette in luce tre sfide operative che i team IT devono affrontare.
1. Il volume rende irrealistica la definizione manuale delle priorità
Quasi 1.000 CVE Microsoft non possono avere tutte lo stesso livello di urgenza. I team IT devono determinare quali asset sono interessati, quali vulnerabilità vengono sfruttate e quali sistemi supportano l'identità, l'accesso remoto, i database, la collaborazione o i carichi di lavoro critici.
Questa valutazione dipende da un inventario accurato delle risorse e del software. Senza di esso, i team potrebbero dedicare tempo ad aggiornamenti a rischio inferiore mentre i sistemi esposti rimangono vulnerabili.
2. L'infrastruttura enterprise di base è fortemente rappresentata
Gli aggiornamenti di settembre interessano contemporaneamente servizi di identità, DNS, accesso remoto, database, messaggistica, virtualizzazione e sistemi operativi degli endpoint. Questo crea priorità sovrapposte tra server e dispositivi utente, con requisiti diversi di test e manutenzione per ciascuno.
Una distribuzione graduale può aiutare i team a intervenire rapidamente sui sistemi più esposti, testando al contempo aggiornamenti più ampi prima della distribuzione in tutta l'organizzazione.
3. La verifica delle patch è importante quanto la distribuzione
L'invio di un aggiornamento non dimostra che ogni dispositivo sia protetto. I sistemi potrebbero essere offline, le installazioni potrebbero non riuscire oppure gli endpoint potrebbero perdere una finestra di distribuzione.
I team IT devono vedere quali dispositivi restano vulnerabili, quali patch sono state applicate con successo, quali hanno avuto esito negativo e quali sistemi richiedono un altro tentativo di distribuzione o ulteriori interventi di correzione.
Come Splashtop AEM può aiutarti a stabilire le priorità e distribuire le patch
Una release del Patch Tuesday con 974 CVE Microsoft crea due sfide immediate: identificare ciò che conta nel tuo ambiente e distribuire rapidamente gli aggiornamenti giusti. Splashtop AEM aiuta i team IT a gestire entrambi da una console centralizzata.
Scopri dove si trova il rischio: Splashtop AEM offre visibilità centralizzata su vulnerabilità, stato delle patch, inventario hardware e software e stato di salute degli endpoint. I team IT possono usare questo contesto per identificare i dispositivi interessati e capire dove è necessaria una correzione urgente.
Dai priorità alle vulnerabilità più importanti: gli insight sui CVE e le informazioni a livello di endpoint aiutano i team a concentrarsi sulle vulnerabilità sfruttate, sul software ad alto rischio, sui sistemi critici e sui dispositivi che supportano funzioni sensibili come l'identità o l'accesso remoto.
Distribuisci gli aggiornamenti più rapidamente: Splashtop AEM supporta patching in tempo reale, criteri di patch automatici, distribuzione pianificata e roll-out basati su anelli. I team possono testare gli aggiornamenti con un gruppo più piccolo di dispositivi, ampliare la distribuzione in fasi e monitorare il successo o il fallimento senza perdere visibilità sull'intero ambiente.
Rafforza i flussi di lavoro di patching esistenti: I team che gestiscono ancora manualmente alcune parti del patching possono automatizzare le attività ripetitive di distribuzione e verifica. Splashtop AEM può potenziare Microsoft Intune aggiungendo patching in tempo reale, visibilità sulle CVE e funzionalità di correzione al loro ambiente esistente. Le organizzazioni che utilizzano un RMM possono usare Splashtop AEM per migliorare la visibilità delle patch, l'automazione e i flussi di lavoro degli endpoint dove sono necessarie funzionalità aggiuntive.
Rispondi più rapidamente alle vulnerabilità ad alto rischio con Splashtop AEM
Il Patch Tuesday da record di settembre mostra quanto rapidamente la gestione delle patch diventi un problema di definizione delle priorità e verifica. I team IT devono identificare i dispositivi esposti, distribuire gli aggiornamenti urgenti e confermare la risoluzione senza perdere di vista i sistemi negli ambienti distribuiti.
Splashtop AEM riunisce in un’unica piattaforma visibilità sui CVE, patching in tempo reale, automazione, monitoraggio dello stato delle patch e informazioni dettagliate sugli endpoint.
Avvia una prova gratuita di Splashtop AEM per identificare gli endpoint vulnerabili, dare priorità agli aggiornamenti ad alto rischio e distribuire le patch più rapidamente.
