Microsoft rilascia 1.400 patch in un mese: quando aggiustare tutto diventa un problema

Krebs on Security riporta che Microsoft ha pubblicato aggiornamenti per correggere oltre 1.400 vulnerabilità di sicurezza in Windows e altri software. Il numero è impressionante non solo in valore assoluto, ma perché supera di 400 unità il precedente record di settembre (quasi 1.000 patch), a sua volta dieci volte il carico mensile normale che Redmond distribuiva fino a pochi anni fa. Siamo di fronte a un cambio di paradigma: correggere i bug non è più l'eccezione, ma la norma mensile.

Cosa è successo

Nell'aggiornamento di ottobre 2026, Microsoft ha distribuito 1.413 vulnerabilità corrette, così suddivise: 1.102 in Windows, 134 in Office, 61 negli strumenti per sviluppatori, 36 in SharePoint Server e 22 in SQL Server. Di queste, oltre 670 riguardano escalation di privilegi, più di 300 permettono l'esecuzione di codice remoto e 250 causano divulgazione di informazioni. Almeno 78 falle sono classificate come "critiche", il che significa che potrebbero essere sfruttate con poco o nessun intervento dell'utente.

Tra le vulnerabilità più rilevanti spicca CVE-2026-96951, un bypass di funzionalità di sicurezza nella Windows Shell (CVSS 8.8) che colpisce Windows 10, Windows 11 e alcune versioni di Server. Questa falla è già stata sfruttata in attacchi reali. L'attacco funziona tramite file speciali inviati via email o messaggi istantanei: il malintenzionato sfrutta il bug per aggirare la difesa "Mark of the Web" (MOTW), che normalmente blocca i file scaricati da internet. L'Agenzia per la sicurezza informatica americana (CISA) ha aggiunto questa vulnerabilità al catalogo delle falle già sfruttate, imponendo alle agenzie federali di applicare la patch entro il 16 ottobre 2026.

Seconda vulnerabilità critica è CVE-2026-108398 (CVSS 8.8), un difetto nel .NET Framework che consente a un attaccante autenticato di aggirare Windows Defender Application Control (WDAC) ed eseguire applicazioni non autorizzate. A differenza di CVE-2026-96951, questa era già nota pubblicamente al momento del rilascio delle patch. Secondo Mike Walters, presidente di Action1, rappresenta un rischio particolare come tecnica di attacco post-compromissione: un malintenzionato con accesso locale può circumnavigare le restrizioni di sicurezza senza interazione dell'utente.

Terza falla degna di nota è CVE-2026-92707 (CVSS 5.3), un'allocazione sequenziale di memoria non controllata in MessagePack-CSharp che permette un attacco di negazione del servizio. Inoltre, Microsoft ha patito anche una vulnerabilità non-Microsoft, CVE-2026-21413 (CVSS 9.8), un buffer overflow nel Raw Image Extension di Windows che potrebbe portare a esecuzione di codice remoto quando Windows genera anteprime di file immagine.

Perché è importante

Questo diluvio di patch riflette un fenomeno più ampio: l'intelligenza artificiale sta accelerando sia la scoperta dei bug che la loro correzione. Dustin Childs, responsabile della consapevolezza delle minacce presso la Zero Day Initiative, lo spiega così: "Centinaia di CVE in una singola release erano l'eccezione; ora sono la linea di base. L'AI è responsabile in parte: accelera la ricerca dei bug da entrambi i lati della barricata, quindi i vendor trovano (e correggono) più falle, e i ricercatori le scoprono più velocemente".

Ma il vero problema non è il numero assoluto di patch. Come sottolinea Childs, "il volume non è più la vera storia. Quello che conta è che la scoperta sta scalando più velocemente dello sfruttamento, quindi i team che danno priorità al puro conteggio dei CVE stanno bruciando risorse sui bug sbagliati". In altre parole: non tutti i 1.413 bug sono uguali. Alcuni sono critici e già sfruttati; altri sono teorici e potrebbero non rappresentare un rischio reale per mesi.

Per le aziende, il problema è pratico: gestire questo volume di aggiornamenti è diventato un incubo operativo. Le squadre di sicurezza devono testare ogni patch prima di distribuirla in rete, per assicurarsi che non rompa altre applicazioni. Con 1.400 aggiornamenti in un mese, questo diventa quasi impossibile. Tyler Reguly di Fortra suggerisce di concentrarsi sulle 26 vulnerabilità Microsoft che compaiono nel catalogo "Known Exploited Vulnerabilities" (KEV) di CISA finora quest'anno: quelle sono le priorità reali.

Nel contesto più ampio, il 2026 ha già visto Microsoft correggere oltre 4.000 CVE con ancora due mesi da andare, superando il precedente record annuale del 2020 (1.261 CVE). Questo trend riflette come l'AI stia trasformando il panorama della sicurezza informatica: i bug vengono trovati più velocemente, ma anche corretti più velocemente. Tuttavia, la velocità di correzione non sempre corrisponde alla velocità di distribuzione nelle organizzazioni.

Cosa aspettarsi

Microsoft ha introdotto un nuovo metodo per aiutare le organizzazioni a dare priorità agli aggiornamenti: i "risk cohort", gruppi di CVE che richiedono una valutazione simile da parte del cliente. Questo è un primo passo per affrontare il problema della complessità, ma rimane uno strumento di orientamento, non una decisione finale.

Nei prossimi mesi, osserva se:

• Le patch di novembre e dicembre mantengono volumi simili o se il trend inizia a stabilizzarsi. Due mesi rimangono per superare i 4.500 CVE annuali.
• CISA aggiunge altre vulnerabilità al catalogo KEV. Attualmente solo 26 Microsoft CVE sono nel catalogo quest'anno, ma man mano che i ricercatori analizzano il batch di ottobre, potrebbero emergere altri exploit in natura.
• I vendor concorrenti (Apple, Google, Adobe) rilasciano patch batch simili. Se il fenomeno è guidato dall'AI, potrebbe non essere esclusivo di Microsoft.
• Le organizzazioni iniziano a segnalare problemi di compatibilità causati da patch applicate in fretta. Con volumi così alti, il rischio di regressioni aumenta.
• La discussione su Windows 10 si intensifica. Microsoft ha esteso il supporto fino a ottobre 2027, ma con questo ritmo di vulnerabilità, la domanda di estensioni ulteriori potrebbe tornare.

L'elemento da tenere d'occhio è se questo volume diventerà la nuova normalità o se rappresenta un picco temporaneo dovuto all'adozione accelerata dell'AI nella ricerca di vulnerabilità. Nel frattempo, le aziende dovranno adattare i loro processi di patch management per gestire una realtà in cui correggere tutto non è più possibile, e la prioritizzazione intelligente diventa una competenza critica.