Record assoluto di patch Microsoft: quasi 1.000 falle corrette in Windows e dintorni, 2 già sotto attacco (aggiornato: 9 settembre 2026, ore 07:30)

Il "Patch Tuesday" di settembre 2026, pubblicato da Microsoft ieri, è il più imponente mai distribuito dall'azienda. Due delle falle chiuse sono già sotto attacco attivo, e per gli amministratori di sistema il problema non è più leggere il bollettino: è capire da dove cominciare.

Il volume è tale che nemmeno chi lo conta per mestiere arriva allo stesso risultato. Qualys e Zecurit parlano di 974 CVE, di cui 113 di gravità critica e 860 importanti secondo Qualys; altre analisi indicano 972 vulnerabilità con 112 critiche; la Zero Day Initiative, per parte sua, ne ha contate 997. Uno scarto di venticinque CVE tra la stima più bassa e la più alta, sullo stesso identico rilascio, che dice parecchio su quanto sia diventato difficile catalogare la superficie di attacco di un ecosistema software di queste dimensioni.

Due falle già sfruttate: la scadenza è il 22 settembre 2026

Al netto dell'aritmetica, l'urgenza si concentra su due voci. CVE-2026-81963 è un'elevazione di privilegi nello stack di Windows Update: un difetto di tipo link-following che consente a un attaccante già autenticato di ottenere i privilegi SYSTEM. CVE-2026-85880 colpisce invece Advanced Local Procedure Call (ALPC) di Windows con un heap-based buffer overflow che porta allo stesso risultato. Microsoft conferma che entrambe sono state sfruttate in attacchi reali, e CISA le ha inserite nel proprio Known Exploited Vulnerabilities Catalog (KEV) fissando il termine per l'applicazione delle patch al 22 settembre 2026.

Il resto del pacchetto tocca praticamente tutto il portafoglio Microsoft: HTTP.sys, Hyper-V, Exchange Server, Entra ID, Visual Studio Code, GitHub Copilot, Copilot Studio, Data Sharing Service Client. Curiosamente, l'unico grande assente è Microsoft Edge, che questo mese non riceve alcuna correzione.

Il "nuovo normale" secondo la Zero Day Initiative

Che si tratti di un'anomalia isolata, però, non lo crede nessuno. Dustin Childs, ricercatore della Zero Day Initiative, ha definito questa cadenza il «nuovo normale», e la traiettoria degli ultimi mesi gli dà ragione anche se le cifre esatte ballano: Qualys registra 570 vulnerabilità corrette a luglio e 400 ad agosto, Zecurit ne conta rispettivamente 621 e 421. In ogni caso, nel 2026 Microsoft ha già pubblicato più patch che nel 2025 e nel 2024 messi insieme.

Il motore, secondo Childs, è l'automazione della ricerca. «Complimenti agli gnomi della sicurezza di Microsoft per la capacità di correggere bug a questo ritmo», ha dichiarato il ricercatore, aggiungendo però che «la scoperta di vulnerabilità assistita dall'AI non dà segno di rallentare. Non abbiamo però ancora osservato un aumento corrispondente degli exploit attivi». Il condizionale è d'obbligo solo sui tempi: Childs avverte che i danni prodotti dagli attacchi assistiti dall'intelligenza artificiale potrebbero rivelarsi consistenti. E Microsoft non è sola, visto che anche Google e altri grandi nomi del settore stanno pubblicando numeri record di vulnerabilità.

Sul volume complessivo, il commento più sincero resta il suo: «con quasi mille CVE in arrivo da Microsoft e un rilascio corposo anche da Adobe, mi torna in mente un'espressione dei miei tempi da militare: fatevene una ragione e stringete i denti».

Cosa fare adesso: triage prima di tutto

Con centinaia di aggiornamenti che atterrano nello stesso momento, il lavoro vero è la selezione. «I team IT e di sicurezza devono separare rapidamente le vulnerabilità che richiedono un intervento immediato da quelle che possono seguire i normali cicli di distribuzione», ha spiegato Jack Bicer di Action1.

In concreto: le due falle già sfruttate vanno chiuse per prime, e Zecurit consiglia di distribuirle entro 24 ore, tenendo pronte le procedure di risposta agli incidenti nel caso in cui l'ambiente sia già stato compromesso. Gli altri aggiornamenti per Windows si distribuiscono nei due o tre giorni successivi, quelli per Office entro la settimana, quelli per SQL Server a seguire. Chi rientra nel perimetro delle direttive CISA ha comunque un termine perentorio già scritto in calendario: mancano meno di due settimane.

Fonti: zecurit.com, arstechnica.com