Aggiornamenti Microsoft di novembre 2026: oltre 1.000 vulnerabilità corrette in Windows e Office, e uno zero-day in Outlook già sfruttato (aggiornato: 10 novembre 2026, ore 23:24)

Più di mille vulnerabilità corrette in un colpo solo, per il secondo mese di fila. Il Patch Tuesday di novembre 2026, distribuito da Microsoft ieri, 10 novembre 2026, è un pacchetto enorme, da circa 1.235 falle. Il numero però conta meno di un'altra voce dell'elenco: una vulnerabilità zero-day in Microsoft Outlook, già sfruttata attivamente dagli aggressori. Chi amministra PC aziendali, o semplicemente usa Outlook con Office, ha un motivo molto concreto per non rimandare l'installazione.

Outlook si collega all'aggressore senza avvisare

La falla che conta di più è CVE-2026-124194, una vulnerabilità di spoofing in Outlook. Un messaggio o un file Office costruito ad arte può indurre il client a collegarsi a una risorsa di rete controllata dall'aggressore, senza mostrare il consueto avviso sui contenuti esterni. Il risultato è l'esposizione delle credenziali di autenticazione NTLM. Secondo Tenable, l'aggressore deve convincere la vittima ad aprire il file. A quel punto ottiene un hash NTLMv2 valido, utilizzabile per impersonare l'utente in attacchi successivi. Narang sottolinea che l'attaccante potrebbe arrivare ad accedere con l'identità dell'utente colpito.

Il rischio è concreto soprattutto negli ambienti aziendali, dove Outlook è molto diffuso e l'autenticazione NTLM risulta ancora consentita. Il merito della scoperta va a Benoît Sevens, che secondo l'advisory di Microsoft ha usato Claude di Anthropic.

Microsoft valuta la falla come "Moderata", con un punteggio CVSS di 6,5 e classificazione CWE-356, cioè la mancanza di avvisi su azioni non sicure. Proprio qui sta la trappola. Come osserva Trinetri, chi ordina le patch per punteggio CVSS rischia di trovarla in fondo alla lista, eppure è l'unica che gli aggressori stanno già usando. La CISA, infatti, l'ha inserita nel catalogo Known Exploited Vulnerabilities e ha imposto alle agenzie federali statunitensi di correggerla entro la fine del mese.

Gli aggiornamenti per Windows 10 e Windows 11

Per Windows 11 sono disponibili gli aggiornamenti cumulativi KB5132061 e KB5131087. Conviene verificare la documentazione di rilascio per abbinare il pacchetto corretto alla propria versione.

Per Windows 10 arriva invece KB5131096, riservato ai sistemi iscritti al programma Extended Security Update e alle edizioni LTSC. Porta Windows 10 alla build 19045.7846 e Windows 10 Enterprise LTSC 2021 alla build 19044.7846. Nessuna nuova funzione: solo correzioni di sicurezza e di bug.

» Leggi anche: Il supporto per Windows 10 è terminato: cosa significa? Devo abbandonare Windows 10? (video-spiegazione)

Tra le correzioni c'è l'errore 87 (Parametro non corretto) nell'aggiunta di stampanti pubblicate in Active Directory, introdotto dall'aggiornamento di ottobre. Sistemati anche due problemi di Desktop remoto, tra cui le connessioni shadow fallite con Errore non specificato su Windows Server 2016 e 2012 R2. Microsoft dichiara inoltre risolti tutti i problemi noti con i dispositivi USB Audio Class 1.0 comparsi dopo gli aggiornamenti di settembre. Un'attenzione particolare la merita PowerShell. La validazione della codifica per la firma degli script ora è più severa, quindi gli script con codifica UTF-8 non valida potrebbero non superare la verifica della firma. La soluzione è salvarli in UTF-8 con BOM e firmarli di nuovo.

Cosa fare adesso

Su un PC domestico basta aprire Impostazioni > Windows Update e premere Verifica disponibilità aggiornamenti. In azienda, la priorità va a Office e Outlook. Secondo il record della CVE, le versioni interessate sono Microsoft 365 Apps for Enterprise, Office LTSC 2021 prima della build 16.0.14334.21048 e Office LTSC 2024 prima della build 16.0.17932.21140. Le build esatte vanno confermate nella Security Update Guide di Microsoft. Con oltre mille patch da distribuire, la tentazione di procedere per punteggio di gravità è forte. Questa volta, però, la falla da correggere per prima ha un punteggio "moderato".

Fonti: blog.netizen.net, techbytes.app, world-today-news.com