L'aggiornamento più grande della storia di Microsoft

Il Patch Tuesday di settembre 2026 ha corretto 966 vulnerabilità, il numero più alto mai rilasciato in un singolo mese da Microsoft, secondo quanto riportato da BleepingComputer e Tenable. L'aggiornamento riguarda Windows, Office, SQL Server, Exchange Server, Entra ID, Azure e il browser Edge. Tra le centinaia di falle corrette, due sono già state usate in attacchi reali prima ancora che la patch fosse disponibile: si tratta di CVE-2026-81963, nel componente Windows Update Stack, e CVE-2026-85880, in Windows ALPC (Advanced Local Procedure Call). Gli aggiornamenti correttivi sono distribuiti tramite KB5122878 per Windows 10 (nell'ambito del programma ESU), e KB5124008 e KB5122880 per le diverse versioni di Windows 11.

Due zero-day 'solo' di elevazione dei privilegi: perché contano comunque

Entrambe le falle sono classificate come elevazione dei privilegi (EoP): non permettono da sole di entrare in un PC, ma di trasformare un accesso già ottenuto in pieno controllo con privilegi di SYSTEM, il livello più alto su Windows. È qui che nasce l'equivoco: non essendo una 'porta d'ingresso', sembrano meno urgenti. In realtà sono esattamente il secondo passo che un attaccante cerca dopo essere entrato con un accesso minimo.

CVE-2026-81963 sfrutta un problema di risoluzione dei collegamenti nel Windows Update Stack, il componente che gestisce l'installazione degli aggiornamenti stessi: è la prima vulnerabilità di questo tipo, in questo componente, sfruttata attivamente dal 2022. CVE-2026-85880 è invece un overflow del buffer in ALPC, il meccanismo con cui i processi di Windows comunicano tra loro internamente: permette a un codice già in esecuzione con privilegi minimi di uscire dal proprio ambiente isolato (sandbox) e ottenere i privilegi di sistema. Microsoft ha attribuito la segnalazione ai ricercatori di Volexity e Proofpoint ed è la prima falla ALPC inserita in un Patch Tuesday in oltre tre anni, e solo la seconda di questo componente sfruttata come zero-day dal 2023.

Perché il collegamento con phishing e malware le rende più pericolose di quanto sembri

Il punto centrale per una PMI è questo: le due falle da sole richiedono che l'attaccante abbia già un minimo di accesso al PC, ad esempio tramite un allegato infetto aperto da un dipendente, un link di phishing cliccato per errore o un account compromesso. In Italia questo scenario è tutt'altro che raro: il CERT-AgID ha segnalato che dall'inizio del 2026 sono stati gestiti oltre 650 eventi legati a caselle PEC abusate o compromesse per finalità illecite, un fenomeno in crescita costante nei mesi, proprio perché la PEC viene percepita come un canale affidabile e quindi più efficace per veicolare messaggi malevoli.

Il rischio reale non è quindi la falla isolata, ma la catena: un dipendente apre un allegato ricevuto via email o PEC, il malware ottiene un primo accesso limitato al PC, e a quel punto CVE-2026-81963 o CVE-2026-85880 permettono di trasformare quell'accesso minimo in controllo totale della macchina, con la possibilità di disattivare gli strumenti di sicurezza, muoversi verso altri sistemi in rete o installare ransomware. È lo stesso schema descritto negli attacchi recenti che hanno colpito imprese italiane attraverso fornitori di software gestionale: un primo ingresso, seguito da un'escalation dei privilegi per assumere il controllo completo.

Checklist pratica: cosa verificare subito in azienda

Prima di considerare l'aggiornamento di settembre 2026 concluso, un'impresa dovrebbe verificare quanto segue:

• Workstation Windows 10: confermare l'installazione di KB5122878 su tutti i PC ancora coperti dal programma ESU (Extended Security Updates).
• Workstation Windows 11: verificare KB5124008 (versioni 24H2 e 25H2) oppure KB5122880 (versione 23H2), a seconda della build installata su ciascun PC.
• Server: controllare che anche i server Windows, spesso trascurati perché percepiti come meno esposti, abbiano ricevuto gli aggiornamenti equivalenti per la propria versione del sistema operativo.
• Verifica del riavvio: un aggiornamento scaricato ma non installato per mancato riavvio del PC lascia la vulnerabilità aperta: va controllato lo stato effettivo di installazione, non solo il download.
• Priorità ai PC più esposti: le postazioni che ricevono più email e allegati esterni (amministrazione, commerciale, direzione) vanno verificate per prime, perché sono il bersaglio più probabile del primo stadio di un attacco.

Perché il solo Windows Update automatico non basta in azienda

Su un singolo PC di casa, affidarsi a Windows Update automatico è ragionevole. In un'azienda con decine o centinaia di dispositivi, questo approccio ha limiti concreti: gli aggiornamenti possono essere rimandati dall'utente, bloccati da criteri di gruppo configurati in passato e dimenticati, oppure fallire silenziosamente su singole macchine senza che nessuno se ne accorga. Senza un sistema centralizzato non esiste una fotografia aggiornata di quali PC hanno effettivamente installato KB5122878, KB5124008 o KB5122880 e quali sono rimasti indietro, magari per settimane.

Un sistema di patch management centralizzato, che raccolga lo stato di aggiornamento di tutti i PC e server in un'unica reportistica, permette invece di sapere in tempo reale quali macchine sono protette e quali no, e di forzare l'installazione su quelle rimaste scoperte senza dover controllare manualmente postazione per postazione. Con un volume di correzioni record come quello di settembre 2026, la probabilità che qualche macchina resti indietro senza che nessuno se ne accorga cresce in proporzione.

Inserire il controllo in un piano di gestione delle vulnerabilità

La verifica di queste patch non dovrebbe essere un'azione isolata legata alla notizia del momento, ma un tassello di un processo continuo di gestione delle vulnerabilità: inventario aggiornato dei dispositivi aziendali, scansioni periodiche per individuare software non aggiornato, priorità di intervento più stringenti quando una falla risulta già sfruttata attivamente (come in questo caso, dove l'attesa del normale ciclo mensile non è accettabile) e monitoraggio continuo degli endpoint per rilevare tentativi di compromissione anche nelle ore prima che la patch sia effettivamente installata ovunque.

Per una PMI che non ha una struttura IT interna dedicata, tenere sotto controllo contemporaneamente centinaia di CVE mensili, verificare l'installazione delle patch su ogni dispositivo e mantenere attivo un monitoraggio degli endpoint richiede strumenti e tempo che spesso mancano. Affidarsi a un partner IT specializzato in gestione delle infrastrutture e cybersecurity consente di trasformare questo controllo in un processo automatizzato e verificabile, invece che in una verifica manuale rimandata di mese in mese.