Il Patch Tuesday di agosto 2026 corregge 421 CVE, con 62 classificate Critical secondo Zero Day Initiative. Il numero è in calo rispetto al record di luglio (622 CVE), ma resta quasi il doppio di qualsiasi mese pre-2026.
La traiettoria, dunque, è consolidata: i sistemi AI di vulnerability discovery, a partire da MDASH di Microsoft, hanno strutturalmente alzato il volume dei Patch Tuesday e il ritorno alla normalità pre-AI non è, almeno per il momento, in programma.
L’elenco e i dettagli tecnici di tutti gli aggiornamenti di questo mese sono disponibili sulla pagina ufficiale Microsoft.
Indice degli argomenti
Il quadro generale: ancora sopra quota 400, con un filo conduttore chiaro
La distribuzione degli aggiornamenti Microsoft per il mese di agosto 2026 rispecchia i mesi precedenti: dominano le escalation di privilegi, seguite dalle RCE (Remote Code Execution).
Ma la lettura corretta da dare al Patch Tuesday di questo mese è nel profilo qualitativo delle vulnerabilità più che nel conteggio delle CVE.
Tre elementi, infatti, distinguono agosto dagli altri mesi dell’anno: una vulnerabilità zero-day attribuita a un attore nation-state nordcoreano già in uso in attacchi reali, quattro RCE unauthenticated con CVSS 9.8 su servizi di infrastruttura critici e la chiusura di una catena di attacco SharePoint rimasta aperta dalla fine di luglio.
In particolare, il contesto geopolitico non è neutro: il Patch Tuesday di agosto cade in un momento in cui i gruppi APT nordcoreani (Lazarus in primis) stanno intensificando le operazioni di spionaggio e furto di criptovalute. La presenza di un loro zero-day in questo ciclo non è una coincidenza episodica: è parte di un pattern operativo documentato su afd.sys negli ultimi quattro anni.
Patch Tuesday agosto 2026: la zero-day e l’ombra di Lazarus
La vulnerabilità che richiede attenzione immediata è la CVE-2026-68820, una use-after-free nel driver afd.sys – Ancillary Function Driver for WinSock, il componente kernel di Windows che costituisce la spina dorsale del Windows Sockets API, ossia l’interfaccia attraverso cui ogni applicazione Windows gestisce le comunicazioni di rete.
Il meccanismo di attacco è quello classico delle LPE da driver kernel: un attaccante con codice già in esecuzione sulla macchina, ottenuto tramite phishing, browser RCE o accesso non autorizzato, innesca una race condition nel driver e scala i propri privilegi fino a SYSTEM.
La pericolosità di questa vulnerabilità risiede nel fatto che non è richiesta alcuna interazione utente per il suo sfruttamento.
Ma c’è un altro particolare che rende interessante la vulnerabilità: il suo punteggio CVSS è di 7.0 su 10, con una classificazione Important (non Critical). Dunque, parliamo di un tipo di bug che, come insegnano i mesi precedenti, va patchato immediatamente proprio perché il punteggio tende a farlo sottovalutare.
Check Point Research ha attribuito lo sfruttamento attivo al gruppo Lazarus, nell’ambito della sua campagna Operation Dream Job, in cui i finti recruiter nordcoreani contattano sviluppatori software con offerte di lavoro fasulle che nascondono malware.
Non è la prima volta che Lazarus sfrutta una vulnerabilità di afd.sys: Satnam Narang di Tenable ha ricordato che dal 2022 ci sono già state altre tre zero-day su questo componente, l’ultima delle quali (CVE-2024-38193) era stata anch’essa attribuita a Lazarus.
Ricordiamo che afd.sys è il driver che gestisce la comunicazione tra le applicazioni Windows e lo stack di rete del sistema operativo. Ogni connessione TCP/IP, ogni socket, ogni operazione di rete passa attraverso questo componente ed è dunque evidente che la sua compromissione rappresenta una falla nel cuore stesso della comunicazione di rete di Windows.
È dunque importante monitorare escalation di privilegi anomale legate a processi di rete o eventi kernel inattesi e patchare la CVE-2026-68820 su tutti gli endpoint Windows con priorità assoluta, inclusi i sistemi che non sono direttamente esposti su internet. Lazarus, infatti, entra tipicamente tramite phishing o ingegneria sociale mirata a sviluppatori: qualsiasi workstation aziendale è un potenziale target iniziale.
Le altre due zero-day pubbliche da trattare come urgenze
Il patch Tuesday del mese di agosto 2026 interviene anche su altre due vulnerabilità zero-day.
La prima delle due da trattare con urgenza è la CVE-2026-62832, un’escalation di privilegi nel Windows User Profile Service. Il meccanismo è insolito: un attaccante autenticato che dispone delle credenziali di un altro account locale può caricare l’hive del registro di quel secondo utente e ottenere accesso o modifica dei suoi dati, scalando fino a permessi di amministratore.
Nessuna interazione utente richiesta.
Microsoft ha classificato questa vulnerabilità come pubblica. ossia già nota prima del rilascio della patch, e ha valutato lo sfruttamento come “più probabile“. In uno scenario Enterprise dove le credenziali di account locali possono essere ottenute tramite credential dumping o dump del SAM, questa vulnerabilità fornisce un meccanismo per espandere l’accesso lateralmente tra account sullo stesso sistema, aggirando i controlli di separazione dei privilegi.
La terza zero-day del Patch Tuesday del mese di agosto 2026 è la CVE-2026-72971, una vulnerabilità di tampering nel Windows Container Isolation FS Filter Driver (unionfs.sys), il componente responsabile dell’isolamento del filesystem nei container Windows.
Anch’essa già pubblica prima del patch, consente la manipolazione delle operazioni del filesystem legate ai container, potenzialmente aggirando i confini di isolamento attesi.
Microsoft valuta lo sfruttamento come “meno probabile“, ma la divulgazione pubblica prima del fix è sufficiente a giustificarne il trattamento urgente in quanto in architetture basate su container Windows (ambienti di CI/CD, deployment Kubernetes su Windows, ambienti di test isolati) l’integrità del layer di isolamento è chiaramente un prerequisito di sicurezza non negoziabile.
Vulnerabilità in SharePoint: la patch che mancava da luglio
Il Patch Tuesday del mese di agosto 2026 chiude un’operazione rimasta in sospeso dal mese precedente. A luglio, Microsoft aveva patchato solo la prima metà della catena di attacco scoperta da Rapid7 che consentiva il bypass JWT di autenticazione mediante sfruttamento della CVE-2026-55040. La seconda metà, la RCE vera e propria tracciata come CVE-2026-63520, arriva con gli aggiornamenti di questo mese.
La catena, riportata da Rapid7 il 18 maggio, combina i due componenti per ottenere esecuzione di codice remoto non autenticata su SharePoint Server on-premise: il bypass JWT permette all’attaccante di impersonare un utente o amministratore del sito e la RCE esegue codice nel contesto di quell’identità.
Come ha chiarito Rapid7, patchare CVE-2026-55040 a luglio era sufficiente a interrompere la catena dimostrata; CVE-2026-63520 chiude ora anche il componente RCE in modo indipendente.
La superficie server sotto pressione
Al di là delle zero-day, agosto porta quattro vulnerabilità di esecuzione di codice remoto che non richiedono autenticazione né interazione utente, tutte con CVSS 9.8:
- CVE-2026-62878 – Windows DNS Server: stack-based buffer overflow raggiungibile da remoto senza autenticazione. ZDI la classifica come potenzialmente wormable: tecnicamente, un attaccante che comprometterebbe un server DNS potrebbe sfruttarla per propagarsi automaticamente agli altri server DNS raggiungibili. Microsoft valuta lo sfruttamento come “meno probabile”, ma la condizione wormable impone prudenza.
- CVE-2026-62893 – Windows Deployment Services TFTP Server: RCE attraverso il protocollo TFTP, senza autenticazione e senza interazione utente. WDS è spesso presente in ambienti Enterprise per il provisioning automatico di sistemi Windows.
- CVE-2026-62815 – Microsoft QUIC: RCE nel protocollo QUIC di Microsoft, raggiungibile da remoto senza credenziali. QUIC è il protocollo di trasporto alla base di HTTP/3 e di numerosi servizi Microsoft moderni.
- CVE-2026-59124 – HPC Pack: stesso profilo di rischio (CVSS 9.8, no auth, no interazione utente), ma il componente non è installato di default: dunque, è rilevante solo negli ambienti di High Performance Computing. Microsoft valuta lo sfruttamento come “più probabile“: chi lo usa deve patchare subito.
Il concetto da tenere a mente con queste quattro CVE è lo stesso che ormai ribadiamo da alcuni mesi: la priorità non la determina più solo il CVSS, ma la cosiddetta reachability del servizio nell’ambiente specifico. Un DNS Server raggiungibile dall’interno della rete è un rischio di primo ordine; un HPC Pack installato su un solo cluster isolato è un rischio contestualizzato.
L’inventario dei servizi esposti è il prerequisito del triage efficace.
Tre considerazioni finali
L’analisi del Patch Tuesday del mese di agosto 2026 ci consente di fare alcune considerazioni in merito all’importanza di rivedere i propri piani di patch management aziendale.
Il volume è la nuova normalità, non un’anomalia
Da gennaio a agosto 2026, Microsoft ha corretto oltre 2.400 CVE nei soli Patch Tuesday mensili, già oltre qualsiasi anno intero nel decennio precedente.
I team di sicurezza che trattano ogni mese come un’eccezione stanno adottando la risposta sbagliata. La risposta corretta è strutturale: automazione del patching per i sistemi a basso rischio, finestre di emergenza predefinite per gli zero-day, e triage sistematico per contesto anziché per punteggio.
Lazarus su afd.sys è un segnale, non un episodio
Stiamo parlando di quattro zero-day sullo stesso driver kernel in quattro anni, tutti attribuiti allo stesso attore nation-state.
Questo non è il comportamento di un gruppo che fa exploit research casuale: è il comportamento di chi ha investito significativamente nella comprensione di quel componente e nella capacità di sviluppare exploit stabili.
I team SOC devono includere il monitoraggio comportamentale di afd.sys nelle proprie regole di detection, indipendentemente dallo stato delle patch.
La superficie cloud e AI si espande più velocemente di quella tradizionale
Agosto porta CVE su Azure CycleCloud, GitHub Copilot, Visual Studio Code, Microsoft QUIC, TPM 2.0 e AMD Zen.
Un dettaglio che sottolinea come la superficie d’attacco Enterprise non è più definita dai confini del data center: si estende a ogni componente dell’ecosistema software e hardware in uso.
Di conseguenza, un programma di vulnerability management che non includa la componente cloud, i componenti AI e i driver di sistema è ormai, per definizione, incompleto.
Partecipa alla community