Patch Tuesday di novembre 2026: 1.094 CVE, 1 zero-day sfruttato

La release del Patch Tuesday di Microsoft di novembre 2026 riguarda 1.094 CVE Microsoft. Si tratta di un calo rispetto al record di ottobre di 1.413, ma è comunque la seconda release Patch Tuesday più grande finora, davanti ai 974 di settembre. La release interessa Windows, Microsoft 365 e le app di Office, SQL Server, SharePoint Server, Exchange Server, Azure, Defender e gli strumenti per sviluppatori. Microsoft sta inoltre ripubblicando 165 CVE non Microsoft.

Una vulnerabilità è già oggetto di sfruttamento attivo: CVE-2026-124194, una falla di spoofing in Microsoft Outlook. Microsoft la classifica come Moderate e nessuna CVE di questa release è stata divulgata pubblicamente prima della patch. Per il terzo mese consecutivo, la vulnerabilità che gli attaccanti stanno effettivamente sfruttando è classificata al di sotto di Critical, motivo per cui lo stato di sfruttamento dovrebbe determinare l'ordine di priorità del lavoro.

Con più di 1.000 CVE Microsoft da valutare, i team IT hanno bisogno di un rollout basato sul rischio che inizi dalle vulnerabilità sfruttate dagli attaccanti e dai sistemi in cui una compromissione causerebbe i danni maggiori. Questo articolo illustra dove si concentrano le vulnerabilità, come funziona lo zero-day di Outlook e dove viene distribuita la relativa correzione, quali vulnerabilità critiche affrontare successivamente e come sequenziare il rollout.

Riepilogo delle patch Microsoft di novembre 2026

Dei 1.093 CVE con valutazioni di gravità, Microsoft ne ha classificati 63 come Critici, 1.029 come Importanti e 1 come Moderato.

L'elevazione dei privilegi e l'esecuzione di codice in modalità remota rappresentano circa il 76% della release:

Le vulnerabilità di esecuzione di codice da remoto possono consentire a un attaccante di ottenere un accesso iniziale, e le vulnerabilità di elevazione dei privilegi possono trasformare questo accesso limitato nel pieno controllo di un sistema. Con più di 800 vulnerabilità di questi due tipi in una sola release, i team IT devono sapere quali sistemi interessati sono esposti e quali dispongono di accessi privilegiati.

Dove si concentrano le vulnerabilità

Windows rappresenta circa due terzi dei CVE di questo mese. Office e SharePoint Server ne aggiungono altri 201, mantenendo alto nell'elenco il rischio legato ai documenti.

Le cifre pubblicate da Microsoft per questa release differiscono leggermente: le note di rilascio e la suddivisione per famiglia di prodotti indicano 1.094 CVE, mentre le valutazioni di gravità ne coprono 1.093. Questo articolo utilizza 1.094, la cifra riportata nelle note di rilascio di Microsoft.

Uno zero-day sfruttato in Outlook

Microsoft ha segnalato una CVE come sfruttata questo mese. È l'unica vulnerabilità con livello di gravità Moderato nell'intera release.

Un attaccante non autenticato invia un file di messaggio appositamente creato e induce il destinatario ad aprirlo in Outlook. L'apertura del file fa sì che Outlook si connetta a un percorso di rete controllato dall'attaccante senza mostrare il consueto avviso sui contenuti esterni. Questa connessione può esporre l'hash NTLMv2 dell'utente, che un attaccante può usare per impersonare l'utente in attacchi successivi.

L'utente deve aprire il file e il riquadro di anteprima non è un vettore di attacco. Microsoft non ha condiviso chi ci sia dietro gli attacchi né quanto siano diffusi. Moderato è un livello superiore alla valutazione più bassa di Microsoft, ma questa è l'unica CVE del rilascio che gli attaccanti stanno sicuramente utilizzando, quindi applica prima la patch su ogni dispositivo che esegue Outlook.

La correzione viene distribuita negli aggiornamenti di sicurezza di Microsoft 365 Apps e Office LTSC 2021 e 2024. Non fa parte dell'aggiornamento cumulativo di Windows (KB5132061), quindi le organizzazioni che distribuiscono solo aggiornamenti di Windows restano esposte finché non viene installato l'aggiornamento di Office.

CISA ha aggiunto CVE-2026-124194 al suo catalogo delle vulnerabilità note sfruttate il 10 novembre 2026, con una scadenza per la correzione fissata al 24 novembre 2026 per le agenzie federali.

Vulnerabilità critiche da dare priorità in seguito

Questo mese Microsoft ha classificato 63 vulnerabilità come critiche: 48 di esecuzione di codice da remoto e 15 di elevazione dei privilegi. Invece di trattarle come un unico gruppo, assegna loro la priorità in base all'infrastruttura interessata, a quanto è esposta e a ciò che una compromissione metterebbe a rischio.

Servizi di identità, directory e autenticazione

I controller di dominio e i protocolli che proteggono l'autenticazione danno a un attaccante accesso all'intero ambiente. La vulnerabilità di Active Directory Domain Services (CVSS 8.8) richiede un attaccante autenticato, mentre la vulnerabilità di Schannel (CVSS 8.1) può essere sfruttata da un attaccante non autenticato attraverso la rete. Microsoft ha valutato entrambe come Exploitation More Likely.

Server Exchange, IIS e di distribuzione

Exchange Server (CVE-2026-118207), Internet Information Services (CVE-2026-119961) e Windows Deployment Services (CVE-2026-119951) presentano ciascuno una vulnerabilità critica di esecuzione di codice da remoto. La falla di Exchange ha un punteggio CVSS di 8.8 ed è valutata come con maggiore probabilità di sfruttamento.

Questi server sono spesso esposti a internet o coinvolgono ogni endpoint che da essi dipende per posta, servizi web o provisioning. Anche SharePoint Server merita attenzione: CVE-2026-120002 è classificata come Important ma ha un punteggio CVSS di 9.9, un altro caso in cui l’etichetta di gravità sottostima il rischio.

Servizi Windows esposti alla rete

Tutte queste sono vulnerabilità di esecuzione di codice in remoto nei servizi in ascolto sulla rete. Individua dove sono abilitati Message Queuing e gli altri servizi interessati e sposta in cima alla coda i sistemi raggiungibili dall'esterno. La falla NAT (CVSS 8.1) è valutata come con maggiore probabilità di sfruttamento.

Escalation dei privilegi in Hyper-V e Windows

Windows Hyper-V presenta questo mese otto vulnerabilità critiche di elevazione dei privilegi:

• CVE-2026-113753

• CVE-2026-113856

• CVE-2026-113860

• CVE-2026-113861

• CVE-2026-113864

• CVE-2026-113865

• CVE-2026-119947

• CVE-2026-119960

Anche Graphics Kernel (CVE-2026-119966 e CVE-2026-125137) e Remote Desktop Services (CVE-2026-119957) presentano falle Critical di elevazione dei privilegi. Abbinate a una vulnerabilità di accesso iniziale, queste possono dare a un attaccante il controllo a livello SYSTEM.

Gli host Hyper-V spesso eseguono molti carichi di lavoro di produzione, quindi una vulnerabilità a livello host mette a rischio ogni guest presente su di esso. Usa test graduali e finestre di manutenzione coordinate nei casi in cui un rollout immediato potrebbe interrompere i servizi, ma mantieni queste finestre brevi.

Microsoft 365 e applicazioni Office

Le applicazioni Office rappresentano 22 delle vulnerabilità critiche di questo mese per l'esecuzione di codice in modalità remota:

Excel ha di nuovo la più alta concentrazione di vulnerabilità critiche in una singola app. I documenti dannosi restano uno dei percorsi più comuni di accesso agli ambienti degli utenti. Le tre vulnerabilità critiche di Outlook (CVE-2026-110043, CVE-2026-110068 e CVE-2026-111309) non sono contrassegnate come sfruttate. Vengono distribuite tramite lo stesso canale di aggiornamento di Office della correzione zero-day, quindi un unico rollout di Office può risolvere entrambi i problemi.

Componenti per file, contenuti multimediali e ricerca

Le vulnerabilità critiche di esecuzione di codice da remoto interessano anche Graphic Fonts (CVE-2026-119969), la Windows Codecs Library (CVE-2026-113749), Raw Image Extension (CVE-2026-114169), Windows Search (CVE-2026-116928) e i componenti di Print Spooler (CVE-2026-113752).

Le falle relative a font, codec, immagini e ricerca possono essere attivate tramite contenuti appositamente creati, il che le rende facilmente sfruttabili sui normali endpoint. Print Spooler viene eseguito sulla maggior parte dei dispositivi Windows ed è facile trascurarlo nei cicli di patching, quindi verifica che sia incluso nello stesso rollout del resto della release.

Azure e servizi di sicurezza

Azure OpenAI (CVE-2026-119990) e Azure Managed Grafana (CVE-2026-114160) presentano ciascuno una vulnerabilità Critica di elevazione dei privilegi, mentre Microsoft Defender presenta una vulnerabilità Critica di esecuzione di codice in modalità remota (CVE-2026-122194). I servizi cloud e gli strumenti di sicurezza richiedono la stessa verifica dei sistemi on-premises, e una vulnerabilità in un prodotto di sicurezza è di per sé un obiettivo di alto valore.

Come dare priorità alle patch di novembre 2026

Non esiste una tempistica fissa adatta a ogni ambiente. Usa questi livelli come punto di partenza, poi adattali in base all’esposizione, all’impatto sul business e ai requisiti di test.

Applica la patch entro 72 ore

• CVE-2026-124194, tramite gli aggiornamenti di Microsoft 365 Apps e Office LTSC, su ogni dispositivo che esegue Outlook

• Active Directory Domain Services, LDAP, Schannel e CredSSP su controller di dominio e server di autenticazione

• Exchange Server e IIS, a partire dai sistemi esposti a internet

• Message Queuing, server SMB, TCP/IP e NAT sui sistemi in cui tali servizi sono raggiungibili

• host Hyper-V

• Google Chrome CVE-2026-125350, trattata nella sezione dedicata a terze parti qui sotto

• Qualsiasi CVE successivamente aggiunta al catalogo CISA KEV o contrassegnata come Exploitation More Likely

Applica la patch entro 1 o 2 settimane

• Le restanti vulnerabilità critiche di Office, a partire da Excel, poi Word, Outlook e PowerPoint. Microsoft elenca gli aggiornamenti di Office come cumulativi, tranne per Office 2016, quindi il rollout della zero-day include già la maggior parte di queste correzioni in Microsoft 365 Apps e Office LTSC. Verifica Office 2016 separatamente.

• Componenti di Graphic Fonts, Codecs Library, Raw Image Extension, Windows Search e Print Spooler

• Vulnerabilità di elevazione dei privilegi in Graphics Kernel, Remote Desktop Services e TPM

• SharePoint Server, incluso CVE-2026-120002

• Azure OpenAI, Azure Managed Grafana e Microsoft Defender

• Visual Studio, Visual Studio Code e .NET sulle workstation degli sviluppatori

• Server Adobe Connect e Adobe Experience Manager

L'esposizione dovrebbe comunque avere la precedenza sulla tempistica predefinita. Gli utenti che aprono abitualmente file esterni potrebbero aver bisogno prima degli aggiornamenti di Office.

Ciclo regolare di patch

• Vulnerabilità di elevazione dei privilegi e divulgazione di informazioni classificate come importanti in componenti con esposizione limitata

• Problemi relativi all'accesso solo locale e ai driver di dispositivo su sistemi con accesso fisico limitato

• Sistemi non esposti a internet con controlli compensativi in atto

Aggiornamenti degni di nota di terze parti

Diversi altri fornitori hanno rilasciato correzioni di sicurezza nella stessa settimana, incluso un altro zero-day già sfruttato.

zero-day di Google Chrome

Google ha corretto CVE-2026-125350, una vulnerabilità use-after-free ad alta gravità nel componente XML di Chrome che viene sfruttata attivamente. La correzione è inclusa in Chrome 157.0.8103.50/.51 per Windows e Mac e in Extended Stable 156.0.8078.96, e lo stesso aggiornamento risolve anche altre otto vulnerabilità. CISA ha aggiunto CVE-2026-125350 al catalogo KEV il 10 novembre, lo stesso giorno della falla di Outlook.

Chrome scarica gli aggiornamenti in background ma li applica solo dopo un riavvio, quindi verifica le versioni installate anziché lo stato del download. Anche altri browser basati su Chromium condividono lo stesso codice del motore, quindi tieni d'occhio anche gli aggiornamenti di quei fornitori.

Adobe

Adobe ha rilasciato correzioni per circa 110 vulnerabilità in nove prodotti: Adobe Experience Manager, Adobe Connect, Photoshop, Premiere, After Effects, Audition, Media Encoder, Dimension e il Content Credentials SDK. Sono state corrette vulnerabilità critiche in Adobe Connect e Adobe Experience Manager, incluse sei falle di Adobe Connect con un punteggio CVSS pari a 10. Adobe afferma di non essere a conoscenza di alcuno sfruttamento.

Anche Adobe ColdFusion 2021 raggiungerà la fine del supporto esteso il 10 novembre 2026, secondo la cronologia del supporto di Adobe. Il suo ultimo aggiornamento è stato rilasciato a dicembre 2025, quindi tutti i server ColdFusion 2021 ancora in uso necessitano di un piano di aggiornamento.

CVE non Microsoft ripubblicate

Questo mese Microsoft sta ripubblicando 165 CVE non Microsoft, rispetto a una sola a ottobre. Insieme alle release di Chrome e Adobe, questo ricorda di mantenere browser, strumenti creativi e applicazioni server nello stesso flusso di lavoro di gestione delle vulnerabilità di Windows e Office. Processi separati possono lasciare lacune anche quando il patching del sistema operativo è aggiornato.

Perché il Patch Tuesday di novembre è importante per i team IT

La release di novembre solleva tre problemi operativi che vanno oltre ogni singolo CVE.

1. Le correzioni arrivano tramite più di un canale di aggiornamento

L'unica vulnerabilità Microsoft sfruttata questo mese viene corretta con l'aggiornamento di Office, lo zero-day di Chrome richiede il riavvio del browser e Adobe rilascia aggiornamenti secondo una propria pianificazione. Un processo basato esclusivamente su Windows Update può segnalare un dispositivo come aggiornato anche se è ancora esposto.

I team hanno bisogno dello stato delle patch per ogni applicazione e per ogni build del sistema operativo, insieme a una visione chiara di quali dispositivi non hanno ancora ricevuto gli aggiornamenti più importanti di questo mese.

2. Windows 11 23H2 Enterprise ed Education raggiungono la fine degli aggiornamenti

Microsoft afferma che l'aggiornamento di novembre (KB5131087) è l'ultimo aggiornamento di sicurezza per Windows 11 versione 23H2 Enterprise ed Education. Windows 11 versione 24H2 Home e Pro ha già raggiunto la fine degli aggiornamenti a ottobre e i dispositivi commerciali Windows 10 22H2 necessitano di una licenza Extended Security Updates Year 2 per ricevere le correzioni di questo mese.

I dispositivi con queste edizioni smettono di ricevere correzioni dopo la data di fine supporto, indipendentemente dalla rapidità con cui un team applica le patch. Identificali subito e pianifica gli aggiornamenti. Microsoft ha anche dichiarato che non ci sarà alcun aggiornamento di anteprima non di sicurezza a dicembre 2026, anche se l’aggiornamento di sicurezza di dicembre è comunque previsto per il Patch Tuesday.

3. Le modifiche di hardening della sicurezza potrebbero richiedere test

Con questo aggiornamento, i client Windows 11 offrono per impostazione predefinita la firma dei messaggi NTLM per le connessioni non anonime, contribuendo a ridurre gli attacchi di inoltro NTLM. È un cambiamento tempestivo in un mese in cui lo zero-day sfruttato prende di mira gli hash NTLMv2.

PowerShell ora applica controlli di codifica più rigorosi agli script firmati, quindi gli script con codifica UTF-8 non valida potrebbero non superare la convalida della firma anche se prima funzionavano. Le indicazioni di Microsoft sono di salvare questi script come UTF-8 con byte order mark e firmarli nuovamente. Testa gli script di automazione firmati su un piccolo gruppo di dispositivi prima di una distribuzione su larga scala.

Come Splashtop AEM può aiutarti a dare priorità alle patch e distribuirle

Una release con 1.094 CVE e uno zero-day già sfruttato assegna ai team IT due compiti: trovare ciò che conta nel proprio ambiente e distribuire rapidamente gli aggiornamenti giusti. Splashtop AEM (Autonomous Endpoint Management) gestisce entrambi da una console centralizzata.

• Individua i dispositivi esposti: Splashtop AEM esegue continuamente la scansione degli endpoint Windows e macOS alla ricerca di CVE, incluse le vulnerabilità nel catalogo Known Exploited Vulnerabilities di CISA, insieme allo stato delle patch e all'inventario hardware e software. I team possono vedere quali endpoint sono ancora esposti man mano che gli aggiornamenti vengono distribuiti.

• Dai priorità a ciò che gli attaccanti stanno sfruttando: riepiloghi CVE basati sull'AI e segnali di rischio, inclusi i punteggi EPSS e lo stato KEV, aiutano i team a dare precedenza alle vulnerabilità sfruttate rispetto al resto di una release di oltre 1.000 CVE.

• Distribuisci e verifica più velocemente: l'applicazione di patch in tempo reale per il sistema operativo e le applicazioni di terze parti, i criteri automatizzati, le finestre di manutenzione, i controlli di riavvio e gli anelli di aggiornamento consentono ai team di testare prima gli aggiornamenti del server o di Hyper-V su un gruppo più piccolo di dispositivi. I team possono quindi estendere la distribuzione e monitorare quali installazioni sono riuscite, quali non sono riuscite o quali sono state ritardate.

• Rafforza i flussi di lavoro esistenti: Splashtop AEM può migliorare Microsoft Intune aggiungendo patching in tempo reale, visibilità sui CVE e remediation. I team che utilizzano un RMM possono usarlo per colmare le lacune nella visibilità delle patch e nell'automazione.

Trova e correggi più rapidamente gli endpoint esposti con Splashtop AEM

La release di novembre è più piccola di quella di ottobre, ma è comunque il secondo Patch Tuesday più grande fino a oggi e la sua unica vulnerabilità Microsoft sfruttata viene corretta al di fuori dell'aggiornamento di Windows. I team IT devono vedere quali endpoint sono esposti in ogni canale di aggiornamento, distribuire prima le correzioni più urgenti e confermare ogni installazione.

Avvia una prova gratuita di Splashtop AEM per vedere quali endpoint sono vulnerabili, dare priorità agli aggiornamenti ad alto rischio e distribuire le patch più rapidamente.