Il Patch Tuesday di settembre 2026 ha corretto 974 CVE, ma il numero preciso non conta: conta che si tratta del pacchetto cumulativo di aggiornamenti più grande nella storia di Microsoft, quasi il doppio del precedente record stabilito a luglio.

974 CVE: quando il record smette di essere una notizia

Per mettere in prospettiva: Satnam Narang di Tenable ha calcolato che Microsoft ha già corretto oltre 2.600 vulnerabilità nel solo 2026, più del doppio dell’intero 2020 (l’anno record precedente con 1.245 CVE) e mancano ancora tre mesi alla fine dell’anno.

Tyler Reguly di Fortra ha sintetizzato il sentiment dell’intera industria con una frase che vale la pena riportare: “i numeri hanno perso ogni significato”. Non come critica, ma come constatazione: siamo entrati in un’era in cui la soglia dell’attenzione non può più essere il volume, ma deve essere il contesto.

ZDI ha documentato 58 vulnerabilità valutate come “più probabilmente sfruttate” in questo ciclo: un numero elevato in termini assoluti, ma che in percentuale sul totale (circa 6%) conferma la tesi secondo cui la stragrande maggioranza delle CVE corrette ogni mese non diventerà mai un exploit utilizzabile in attacchi reali.

Il problema è identificare quella piccola percentuale che invece lo farà, e farlo prima degli attaccanti.

Invece, il dato strutturale che conta davvero è che da gennaio a settembre 2026 Microsoft ha corretto più vulnerabilità che in qualsiasi triennio precedente. Significa che l’AI-driven discovery non rallenterà e, quindi, i processi di patch management devono evolvere di conseguenza integrandoautomazione, triage contestuale e finestre di emergenza predefinite o diventare strutturalmente inadeguati.

Le due vulnerabilità zero-day già sfruttate

Ecco i dettagli tecnici delle due vulnerabilità zero-day che Microsoft ha corretto in occasione del Patch Tuesday per il mese di settembre 2026.

La CVE-2026-85880 in Windows ALPC

La prima zero-day è CVE-2026-85880, un heap-based buffer overflow in Windows Advanced Local Procedure Call (ALPC), il meccanismo di comunicazione inter-processo alla base di gran parte dell’architettura Windows.

Il punteggio CVSS è di 7.8 su 10, la classificazione è Important, ma Microsoft e CISA concordano sul fatto che la vulnerabilità risulta essere già sotto attacco attivo.

Il meccanismo di sfruttamento è particolarmente rilevante: un attaccante con codice in esecuzione in un AppContainer a basso privilegio (il contesto sandbox usato da applicazioni UWP, browser, e componenti isolati del sistema) può sfruttare questa vulnerabilità per uscire dalla sandbox ed elevare i privilegi a SYSTEM.

Non è richiesta nessun’altra interazione utente. Volexity e Proofpoint sono accreditati per la segnalazione, il che suggerisce la vulnerabilità sia stata identificata nel corso di attività di incident response su sistemi già compromessi.

La CVE-2026-81963 in Windows Update Stack

La secondo zero-day è stata tracciata come CVE-2026-81963 e si tratta di un problema di link following, ovvero di risoluzione impropria di un percorso simbolico, nel Windows Update Stack, il componente responsabile della gestione degli aggiornamenti di sistema.

Come ha spiegato Adam Barnett di Rapid7, lo sfruttamento “stringe i controlli per impedire all’Update Stack di seguire un link malevolo e sovrascrivere un componente di sistema con un impostore controllato dall’attaccante”.

In termini pratici: un attaccante con accesso locale può manipolare il processo di aggiornamento di Windows per sovrascrivere file di sistema privilegiati e scalare a SYSTEM.

È la prima vulnerabilità nello Windows Update Stack mai confermata come sfruttata in the wild e questo, indipendentemente dal CVSS di 7.8, è un dato di rilievo.

Lo stack di aggiornamento è un componente di fiducia implicita in qualsiasi sistema Windows: la sua compromissione mina un presupposto fondamentale dell’architettura di sicurezza del sistema operativo.

La scoperta è accreditata al ricercatore Romain Deperne di Airbus Helicopters e al Microsoft Threat Intelligence Center.

Vulnerabilità in Exchange Server e dirottamento delle mailbox

Il caso più originale e potenzialmente più impattante di questo mese non è una delle zero-day, ma CVE-2026-55007, un RCE su Exchange Server con un vettore d’attacco che non si vedeva da anni: un allegato Microsoft Visio inviato via email e processato dal server durante l’indicizzazione dei contenuti.

Il meccanismo è il seguente: un attaccante non autenticato invia una email con un allegato Visio appositamente costruito a un server Exchange.

Il server, senza che l’utente apra nulla, processa l’allegato durante le operazioni di indicizzazione in background, ed esegue il codice dell’attaccante nel contesto del processo Exchange.

Microsoft precisa che lo sfruttamento richiede condizioni di memory pressure nel sistema bersaglio, cosa non comune in condizioni normali, ma aggiunge che un attaccante che tenta ripetutamente ha bisogno di riuscire una sola volta.

In parallelo, CVE-2026-69380 (CVSS 8.1) è un’escalation di privilegi ancora più preoccupante nella sua semplicità: un attaccante autenticato anche con soli bassi privilegi può impersonare qualsiasi utente dell’organizzazione e dirottare ogni mailbox.

In un contesto Enterprise in cui Exchange centralizza tutta la comunicazione aziendale (e-mail, calendario, contatti) il controllo completo sulle mailbox equivale a un accesso privilegiato all’intera organizzazione.

Venti vulnerabilità wormable: rirorna l’incubo di WannaCry

Il dato che ha fatto alzare più sopracciglia tra i ricercatori di settore è la presenza di 20 vulnerabilità wormable in un singolo ciclo mensile. Il termine “wormable” indica vulnerabilità che permettono a un attaccante remoto non autenticato di eseguire codice senza interazione utente, creando le condizioni tecniche per una propagazione automatica da sistema a sistema, analoga a quella di WannaCry nel 2017.

I componenti interessati sono: DHCP Server, Active Directory, Windows DNS Server, SMB Client, Netlogon, NFS, RRAS, IP Helper, Message Queuing e altri. Su tutti spicca CVE-2026-69730, un RCE con CVSS 9.8 nel Windows DNS Server che ZDI ha definito “il successore spirituale di SigRed”, la critica vulnerabilità DNS del 2020 con CVSS 10.0 che aveva preso di mira i server DNS Windows di tutto il mondo.

Accanto al DNS Server, si segnalano CVE-2026-69829 (heap overflow nel Windows Shell, CVSS 9.8, no auth), CVE-2026-72979 (use-after-free nel DHCP Server, CVSS 9.8) e CVE-2026-69595 (RCE nel driver NFS ONCRPC XDR, CVSS 9.8). Tutte raggiungibili da remoto senza autenticazione. Nessuna richiede interazione utente.

È bene ricordare che wormable non significa che esiste già un worm, ma che le condizioni tecniche per lo sviluppo di uno sono presenti. La storia insegna che la distanza tra una vulnerabilità wormable e il suo sfruttamento massiccio può essere di pochi giorni qualora si dovessero verificare le condizioni di interesse da parte dei gruppi APT o dei ransomware operator.

SQL Server: il rischio per una injection e un’insidia per SQL Copilot

Settembre porta 62 CVE su SQL Server, il volume mensile più alto dell’anno. La più critica è CVE-2026-65669, un’injection con CVSS 9.6 che consente a un attaccante non autenticato di elevare i propri privilegi attraverso la rete.

Ma la nota più interessante per i team di sicurezza enterprise è un’altra: una delle CVE SQL colpisce SQL Copilot in SQL Server Management Studio, il componente AI integrato per l’assistenza alle query.

Con Copilot sempre più integrato negli strumenti di gestione dei database, le vulnerabilità in queste componenti aggiungono un vettore d’attacco che i modelli di sicurezza tradizionali non erano stati progettati per gestire.

Microsoft Authenticator: il token rubato da un’app malevola

CVE-2026-80097 è una vulnerabilità in Microsoft Authenticator su Android con CVSS 8.6: un’applicazione malevola installata sullo stesso dispositivo può acquisire token di accesso validi dopo che l’utente ha completato un’autenticazione legittima.

In un ecosistema Enterprise dove l’MFA tramite Authenticator è la principale barriera di sicurezza sugli account Microsoft 365, una vulnerabilità che compromette il token post-autenticazione mina la promessa stessa del secondo fattore.

Aggiornare immediatamente Authenticator su tutti i dispositivi Android aziendali.

ShieldCrash: Chaotic Eclipse colpisce ancora Microsoft Defender

Il 9 settembre, lo stesso giorno del Patch Tuesday, il ricercatore Chaotic Eclipse ha rilasciato un nuovo PoC battezzato ShieldCrash, questa volta per una vulnerabilità in Microsoft Defender.

È il settimo zero-day pubblico rilasciato da questo ricercatore in cinque mesi, mantenendo la promessa fatta a giugno di continuare le release.

Microsoft non ha incluso un fix per ShieldCrash in questo ciclo: significa che questo Patch Tuesday lascia aperta almeno una vulnerabilità pubblica su Defender. La situazione di stallo con il ricercatore non si è risolta.

Remote Desktop Services e lo shadow overhead del Patch Tuesday

CVE-2026-69525, il use-after-free in Remote Desktop Services con CVSS 9.8 e vettore di attacco “in-network” senza autenticazione, merita una nota operativa specifica.

Microsoft specifica il requisito “in-network”, ovvero l’attaccante deve essere sulla stessa rete del bersaglio o su una rete raggiungibile, ma il vettore CVSS “Network” suggerisce che qualsiasi percorso di rete potrebbe essere rilevante.

RDP è presente in praticamente ogni ambiente enterprise: server di produzione, workstation di sviluppo, sistemi di jump host, ambienti cloud. Limitare l’esposizione diretta di RDP su internet attraverso VPN, gateway RDP dedicati o Network Level Authentication non è una misura di emergenza per questo specifico ciclo: è una misura strutturale che riduce la superficie d’attacco su qualsiasi vulnerabilità futura in questo componente.

Oltre a CVE-2026-69525, settembre porta 17 CVE su SharePoint Server (incluse quattro RCE), aggiornamenti su Windows Shell, RRAS, Netlogon, SMB, NFS e una serie di altri componenti di infrastruttura.

Lo “shadow overhead”, ossia il lavoro sommerso che il Patch Tuesday impone ai team IT al di là dei titoli, è cresciuto in proporzione al volume mensile.

Tre considerazioni finali: quasi mille CVE e il mestiere di chi difende

Alla luce dell’analisi delle vulnerabilità corrette in occasione del Patch Tuesday del mese di settembre 2026, possiamo trarre tre differenti conclusioni.

La soglia dell’attenzione si è spostata: dal volume al contesto

Quasi mille CVE in un mese non sono una crisi gestibile con i processi tradizionali. I team di sicurezza che ancora leggono ogni advisory uno per uno, valutano ogni CVSS manualmente e costruiscono il piano di patching a mano stanno operando con strumenti nati per un mondo diverso.

Il triage moderno deve essere automatizzato, contextual-aware, tenendo conto di quali servizi sono esposti, di quali sistemi contengono dati critici, di quali CVE sono già nel KEV CISA, e sostenuto da playbook di emergenza predefiniti per le categorie di rischio più frequenti.

I 20 bug wormable sono la vera bomba a orologeria del mese

Le zero-day attirano i titoli, ma le vulnerabilità wormable su DNS Server, DHCP, SMB e Netlogon sono quelle con il potenziale di propagazione più ampia.

WannaCry ha sfruttato una singola vulnerabilità SMB per compromettere 200.000 sistemi in 150 paesi in poche ore. Le condizioni tecniche per un evento analogo si ripresentano questo mese su almeno cinque componenti diversi. L’assenza di exploit attivi documentati è una finestra, non una garanzia.

Chaotic Eclipse e ShieldCrash: il problema irrisolto della disclosure

Settembre segna il quinto mese consecutivo in cui questo ricercatore rilascia zero-day pubblici su prodotti Microsoft prima che esista una patch. La situazione è diventata prevedibile e periodica.

Per le organizzazioni Enterprise questo significa una cosa concreta: devono avere processi di risposta per zero-day pubblici su Microsoft Defender e su altri prodotti di sicurezza, indipendentemente dall’esistenza di una patch.

Monitorare i canali di threat intelligence, isolare temporaneamente i sistemi più esposti, e aumentare la visibilità comportamentale sugli endpoint sono misure che non attendono il patch mensile.