Patch Tuesday di agosto 2026: 421 CVE da prioritizzare

La release di Patch Tuesday di Microsoft di agosto 2026 copre 421 CVE in Windows, Office, Azure, Exchange Server, SharePoint Server, Developer Tools e Microsoft Defender. Due vulnerabilità spiccano e richiedono attenzione immediata: una con sfruttamento confermato in the wild e una nota pubblicamente. Sono inoltre segnalati due CVE non Microsoft ripubblicati che interessano Windows TPM. Ecco la nostra opinione su dove concentrarsi per prima cosa.

Analisi delle patch Microsoft per agosto 2026

Come accade nella maggior parte dei mesi, Windows rappresenta la quota maggiore di questa release, con 236 vulnerabilità risolte in 32 aggiornamenti distinti. Office e Office 2016 presentano entrambi 98 vulnerabilità, che riflettono lo stesso insieme di problemi sottostanti distribuiti tramite due diversi modelli di manutenzione: aggiornamenti cumulativi per le versioni di Office attualmente supportate e aggiornamenti individuali per Office 2016. SharePoint Server e Developer Tools completano l'elenco con il numero successivo più alto di vulnerabilità, rispettivamente 30 e 26.

Ecco la suddivisione della release:

Se analizziamo dove si concentra davvero l'esposizione di questo mese, ritroviamo un insieme di aree già familiari: componenti principali di rete e driver di Windows (DNS Server, DHCP Server, RRAS, SSTP, RMCAST, Telephony Service, Win32k), componenti di Office per la gestione dei documenti (Word, Excel, PowerPoint, Access e il Graphics Component condiviso) e piattaforme di collaborazione (SharePoint Server ed Exchange Server). Questo mese osserviamo anche una concentrazione significativa di correzioni in Developer Tools e .NET, un aspetto da segnalare se la tua organizzazione gestisce infrastrutture interne di build o CI/CD.

Poiché Office e Windows insieme rappresentano oltre tre quarti delle vulnerabilità risolte questo mese, ci aspetteremmo che la maggior parte dell'attività di convalida delle patch ricada su endpoint e carichi di lavoro per la produttività piuttosto che sull'infrastruttura server, anche se le correzioni lato server in SharePoint, Exchange e nei servizi di rete principali di Windows comportano un rischio sproporzionato data la loro natura esposta alla rete.

Vulnerabilità zero-day e sfruttamento più probabile

Ogni mese prestiamo particolare attenzione alle CVE per cui gli stessi indicatori di Microsoft — dettagli noti pubblicamente o sfruttamento confermato — mostrano che il rischio reale supera quello indicato dal punteggio di gravità basato su CVSS. Questo mese, due vulnerabilità rientrano in questa categoria:

CVE-2026-68820 presenta uno sfruttamento attivo confermato, mentre CVE-2026-62832 è nota pubblicamente, il che significa che sono già disponibili dettagli tecnici che potrebbero accelerare lo sviluppo di exploit. Entrambe sono vulnerabilità di elevazione dei privilegi classificate come Importanti anziché Critiche: un promemoria utile sul fatto che non ci basiamo solo sui livelli di gravità per valutare l'urgenza. Queste due vulnerabilità dovrebbero essere in cima alla coda delle patch di questo mese, indipendentemente dalla loro classificazione basata su CVSS.

Vulnerabilità critiche ad agosto 2026

La nostra revisione di questa release identifica 43 vulnerabilità classificate come Critiche, la grande maggioranza delle quali sono falle di esecuzione di codice da remoto (RCE). Diverse interessano infrastrutture esposte alla rete che vediamo comunemente esposte all'interno o al perimetro delle reti aziendali:

I restanti CVE con classificazione Critical che stiamo monitorando sono concentrati in Microsoft Office (Word, Excel e il componente grafico condiviso), che questo mese registra oltre una dozzina di vulnerabilità Critical di RCE. Poiché diverse di queste falle interessano servizi spesso esposti a reti non attendibili — in particolare DNS, RRAS e DHCP — considereremmo la convalida e la distribuzione delle patch per domain controller, server edge e infrastrutture di accesso remoto una priorità assoluta.

Come dare priorità alle patch di agosto 2026

Con 421 CVE da esaminare, un approccio basato sul rischio è essenziale. Ecco come consigliamo di definire le priorità per la release di questo mese.

Applica la patch entro 72 ore

• Windows DNS Server, DHCP Server, RRAS, SSTP e RMCAST — falle RCE critiche nei servizi esposti alla rete

• Active Directory Certificate Services (AD CS) e Microsoft QUIC — RCE critiche che interessano l'infrastruttura di identità e trasporto

• CVE-2026-68820 (WinSock AFD) e CVE-2026-62832 (User Profile Service) — attivamente sfruttata e pubblicamente nota, rispettivamente

• SharePoint Server ed Exchange Server — vulnerabilità Critical nelle piattaforme di collaborazione con distribuzioni esposte su internet

• Client desktop remoto e servizio iSCSI Target — RCE Critical rilevante per l'accesso remoto e l'infrastruttura di storage

Applica la patch entro 1-2 settimane

• Microsoft Office (Word, Excel, PowerPoint, Access) — vulnerabilità RCE Critical e Important ad alto volume che richiedono l'interazione dell'utente

• Developer Tools e .NET — rilevanti per infrastrutture interne di build, CI/CD e applicazioni

• Windows Kernel, Win32k, NTFS e servizio di telefonia — vulnerabilità con classificazione Important con ampia diffusione sugli endpoint

Ciclo regolare di patch

• Componenti Windows a gravità inferiore che interessano servizi meno comunemente esposti

• Vulnerabilità che richiedono accesso locale o configurazioni non predefinite

• Sistemi con controlli compensativi già in atto (segmentazione di rete, accesso limitato, copertura EDR)

Principali CVE non Microsoft ripubblicati

Entrambe le CVE ripubblicate interessano implementazioni di Windows TPM (Trusted Platform Module) e sono tracciate sotto MITRE anziché sotto la CNA di Microsoft. Al momento nessuna delle due dispone di workaround o mitigazioni documentate, quindi l'applicazione tempestiva delle patch resta il principale percorso di remediation non appena saranno disponibili gli aggiornamenti del fornitore. Come segnaliamo ogni mese quando si presentano questi casi, consigliamo di trattare componenti di terze parti e vicini al firmware come gli stack TPM come parte dello stesso flusso di gestione delle vulnerabilità che utilizzi per le patch a livello di sistema operativo, anziché come un percorso separato e a priorità inferiore.

Come Splashtop AEM può aiutare

Con 421 CVE da analizzare questo mese, valutare manualmente il rischio su ogni endpoint non è realistico. È proprio questa la lacuna che Splashtop AEM (Autonomous Endpoint Management) è progettato per colmare:

• Identifica rapidamente i rischi: ottieni una visibilità centralizzata su vulnerabilità degli endpoint, stato delle patch e inventario software/hardware, così sai dove sei esposto prima di iniziare ad applicare le patch.

• Dai priorità agli aggiornamenti critici: gli insight CVE basati sull'AI evidenziano quali vulnerabilità contano di più per il tuo ambiente, incluse le problematiche con gravità critica e i CVE con sfruttamento confermato o probabile, così il lavoro si concentra prima dove il rischio è più alto.

• Applica le patch più velocemente: automatizza i criteri di patching e distribuisci aggiornamenti ai sistemi operativi e ai software di terze parti in tempo reale, con visibilità su successi e fallimenti in ogni fase.

• Rafforza i flussi di lavoro esistenti: aggiungi remediation più rapide e maggiore visibilità invece del patching manuale o insieme a Microsoft Intune.

Prova Splashtop AEM gratuitamente

Un singolo Patch Tuesday può richiedere settimane per essere completamente risolto senza gli strumenti giusti — e quando hai finito, la release successiva è già in arrivo. Con Splashtop AEM, puoi:

• Rileva gli endpoint vulnerabili nel tuo ambiente

• Dai priorità alle CVE critiche in base al rischio reale di sfruttamento

• Automatizza la distribuzione delle patch per Windows, Office e applicazioni di terze parti

• Monitorare il successo e il fallimento delle patch da un'unica dashboard

• Rafforza la sicurezza negli ambienti distribuiti e remoti