Microsoft ha pubblicato correzioni per 1.413 vulnerabilità nel suo ultimo Patch Tuesday, il totale più alto mai riportato dall’azienda in un singolo rilascio secondo The Hacker News. Tra queste c’è CVE-2026-96951, una falla di Windows Shell che Microsoft indica come già sfruttata in attacchi reali.
Il difetto può consentire di aggirare le difese Mark of the Web, il meccanismo con cui Windows segnala i file arrivati da Internet. Per riuscirci, però, l’attaccante deve convincere la vittima ad aprire un collegamento o un allegato predisposto.
Un Patch Tuesday fuori scala
Il pacchetto di ottobre comprende 1.102 vulnerabilità in Windows, 134 in Office, 61 negli strumenti per sviluppatori, 36 in SharePoint Server e 22 in SQL Server. Più di 670 problemi riguardano l’elevazione dei privilegi, oltre 300 l’esecuzione di codice da remoto e 250 la divulgazione di informazioni.
Più di 70 falle hanno una gravità classificata come critica. Il numero, da solo, non dice quali aggiornamenti debbano passare davanti a tutti gli altri: per le organizzazioni conta soprattutto stabilire quali prodotti sono presenti nei propri sistemi e quali vulnerabilità siano sfruttate o pubblicamente note.
Dustin Childs, responsabile Threat Awareness della Zero Day Initiative, ha collegato la crescita delle segnalazioni anche all’uso dell’intelligenza artificiale nella ricerca dei bug. Il punto sollevato è che la scoperta delle falle sta accelerando: per questo la priorità non può basarsi soltanto sul conteggio dei CVE.
La falla Windows Shell sfruttata negli attacchi
CVE-2026-96951 è una vulnerabilità di command injection in Windows Shell, con punteggio CVSS 8,8. Microsoft afferma che un aggressore potrebbe usarla per eludere Mark of the Web attraverso la rete, a condizione di indurre l’utente a interagire con contenuti controllati dall’attaccante.
Lo scenario citato comprende l’invio di un file costruito ad hoc via email o messaggistica istantanea. Non risulta invece chiarito come la falla sia stata impiegata negli attacchi osservati, né chi li abbia condotti o quali bersagli abbiano colpito.
La CISA statunitense ha inserito il difetto nel catalogo Known Exploited Vulnerabilities. Per le agenzie federali americane la scadenza indicata per applicare le correzioni è il 16 ottobre 2026.
Le altre vulnerabilità da valutare
Microsoft ha segnalato come pubblicamente nota anche CVE-2026-108398, una vulnerabilità del .NET Framework con CVSS 8,8. Un utente autenticato potrebbe collocare e registrare un assembly .NET predisposto su un sistema interessato, fino ad aggirare l’applicazione delle regole di Windows Defender Application Control.
In questo caso non è necessaria l’interazione dell’utente, ma l’attaccante deve già avere accesso locale autenticato. È quindi un rischio particolarmente rilevante dopo una compromissione iniziale: l’obiettivo sarebbe eseguire applicazioni non autorizzate all’interno di un processo protetto.
Un altro difetto, CVE-2026-21413, non è attribuito a un componente Microsoft ma riguarda Raw Image Extension. Con CVSS 9,8, è un heap-based buffer overflow che può portare all’esecuzione di codice da remoto quando Windows genera l’anteprima o la miniatura di un file RAW malevolo; non è necessario aprire l’immagine.
I “risk cohorts” per dare priorità alle patch
Insieme agli aggiornamenti, Microsoft ha introdotto i risk cohorts, gruppi di CVE che richiedono una valutazione simile da parte dei clienti. L’idea è offrire un punto di partenza per non affrontare oltre mille vulnerabilità come un elenco indistinto.
Microsoft precisa però che questi gruppi non sostituiscono l’analisi delle singole falle. Restano da considerare sfruttamento attivo, gravità, vettore d’attacco, necessità di interazione dell’utente e indicazioni specifiche per il prodotto coinvolto.
Domande frequenti
Qual è la vulnerabilità già sfruttata?
È CVE-2026-96951, una falla di command injection in Windows Shell. Microsoft dice che è stata sfruttata, ma non ha chiarito pubblicamente modalità, autori o vittime degli attacchi.
Perché Mark of the Web è importante in questo caso?
Mark of the Web serve a identificare file provenienti da Internet. L’exploit di CVE-2026-96951 potrebbe aggirare questa protezione, ma richiede comunque che l’utente compia un’azione, come aprire un allegato o seguire un link.
Che cosa sono i risk cohorts?
Sono raggruppamenti di CVE con esigenze di valutazione simili. Microsoft li presenta come uno strumento iniziale di priorità, non come un criterio automatico che elimina la revisione di ogni singola vulnerabilità.
Considerazioni finali
Un bollettino da 1.413 vulnerabilità rende evidente il limite della gestione delle patch basata sui soli numeri. L’elemento che merita attenzione immediata è la presenza di una falla Windows già sfruttata, mentre le altre correzioni vanno ordinate in base ai componenti effettivamente usati e alle condizioni di attacco.
I risk cohorts possono rendere più leggibile un rilascio così ampio, ma non risolvono il problema al posto degli amministratori. La distinzione più concreta resta quella indicata dalla stessa Microsoft: sfruttamento attivo, accesso richiesto e prodotto coinvolto devono pesare più del totale record di CVE.