Oltre 1.400 vulnerabilità corrette, 70 falle critiche e una zero-day di Windows già sfruttata negli attacchi. Il Patch Tuesday del 13 ottobre 2026 segna un nuovo record per Microsoft e pone un problema concreto ai responsabili della sicurezza: come gestire un volume così elevato di correzioni senza perdere di vista le vulnerabilità che rappresentano il rischio maggiore.
Nel pacchetto cumulativo di questo mese, anche altre due vulnerabilità zero-day divulgate pubblicamente prima della disponibilità delle correzioni.
Il dato più rilevante, tuttavia, riguarda il cambiamento che Microsoft sta introducendo nella gestione delle vulnerabilità. Contestualmente agli aggiornamenti, l’azienda ha presentato i risk cohorts, raggruppamenti sperimentali di CVE che condividono caratteristiche utili per valutare l’esposizione dei sistemi aziendali.
È una proposta che nasce da un’esigenza sempre più evidente: il numero delle vulnerabilità pubblicate cresce più rapidamente della capacità dei team di sicurezza di analizzarle individualmente.
Tutti i dettagli del Patch Tuesday di ottobre 2026 sono disponibili sulla pagina ufficiale Microsoft.
Indice degli argomenti
Patch Tuesday ottobre 2026: un numero record di vulnerabilità
Il nuovo Patch Tuesday del mese di ottobre 2026 comprende aggiornamenti per Windows, Office, SharePoint Server, .NET e numerosi altri prodotti e componenti dell’ecosistema Microsoft.
Delle 70 vulnerabilità classificate come critiche, 57 riguardano l’esecuzione remota di codice, 11 l’escalation dei privilegi e due lo spoofing.
La distribuzione complessiva comprende, inoltre, centinaia di problemi di escalation dei privilegi, esecuzione remota di codice e divulgazione di informazioni.
Windows, Office e SharePoint tra i prodotti più interessati
La concentrazione maggiore riguarda il sistema operativo Windows, con oltre 1.100 vulnerabilità. Seguono Office, con 134 CVE, gli strumenti di sviluppo, con 61, e SharePoint Server, con 36. Sono coinvolti anche Exchange Server, Azure, Defender e altri prodotti.
Per le aziende, questo significa dover considerare contemporaneamente workstation, server, strumenti di collaborazione e ambienti di sviluppo.
Il rischio non è uniforme: una vulnerabilità in un componente esposto a Internet richiede valutazioni differenti rispetto a una falla che può essere sfruttata soltanto da un utente già autenticato.
È proprio questa distinzione a dover guidare la distribuzione degli aggiornamenti.
La vulnerabilità zero-day di Windows Shell già sfruttata
La vulnerabilità che richiede maggiore attenzione è CVE-2026-96951, una falla di sicurezza di Windows Shell classificata con un punteggio CVSS di 8,8.
Microsoft conferma che la vulnerabilità è stata sfruttata prima della pubblicazione della patch.
Il problema consente di aggirare una funzionalità di sicurezza di Windows legata al trattamento dei file provenienti da fonti esterne.
In particolare, la vulnerabilità interessa il meccanismo Mark of the Web (MotW), utilizzato per identificare i file scaricati da Internet o provenienti da origini considerate non attendibili.
Come funziona il bypass di Mark of the Web
Mark of the Web associa ai file informazioni sulla loro provenienza, permettendo a Windows e alle applicazioni compatibili di applicare controlli aggiuntivi.
Tra questi rientrano avvisi di sicurezza e restrizioni utilizzate da strumenti come Microsoft Defender SmartScreen e Office Protected View.
La vulnerabilità CVE-2026-96951 permette a un attaccante di aggirare parte di queste protezioni, aumentando le possibilità che un file malevolo venga eseguito senza le verifiche previste.
Secondo Microsoft, un possibile scenario di attacco consiste nell’inviare alla vittima un file appositamente preparato attraverso email o messaggistica.
L’attaccante deve comunque convincere l’utente ad aprire o utilizzare il contenuto: non si tratta quindi, sulla base delle informazioni pubblicate, di una vulnerabilità che consente automaticamente la compromissione remota di un sistema senza interazione.
Il rischio resta significativo perché il bypass interessa un controllo utilizzato per ridurre l’efficacia degli attacchi basati su documenti e file scaricati.
Perché il bypass è rilevante per phishing e malware
Molte campagne malware iniziano con un allegato, un archivio o un collegamento che induce l’utente a scaricare un file. Le protezioni basate sulla provenienza dei contenuti costituiscono uno dei livelli di difesa contro queste tecniche.
Se un attaccante riesce ad aggirarle, aumenta la probabilità che il contenuto malevolo superi i controlli iniziali.
Questo non significa che tutte le altre protezioni vengano disattivate. Antivirus, EDR, controlli applicativi e restrizioni dei privilegi possono continuare a intervenire.
Tuttavia, la compromissione di un meccanismo di sicurezza può rendere più efficace una catena di attacco, soprattutto quando viene combinata con tecniche di social engineering.
La presenza di sfruttamenti attivi rende quindi CVE-2026-96951 una priorità rispetto alle vulnerabilità per le quali non esistono evidenze analoghe.
La CISA statunitense ha inserito la falla nel catalogo Known Exploited Vulnerabilities, indicando il 16 ottobre 2026 come termine di correzione per le agenzie federali soggette alle relative disposizioni.
Per le imprese europee quella data non costituisce una scadenza normativa generale, ma rappresenta un riferimento utile per comprendere l’urgenza attribuita alla vulnerabilità.
Le altre due zero-day: .NET Framework e MessagePack-CSharp
Accanto alla vulnerabilità Windows Shell, Microsoft ha corretto due falle divulgate pubblicamente prima della disponibilità degli aggiornamenti.
La prima è stata tracciata come CVE-2026-108398 ed è una vulnerabilità di sicurezza di .NET Framework che può consentire di aggirare le restrizioni di Windows Defender Application Control (WDAC).
La seconda è stata tracciata come CVE-2026-92707 ed è un problema di Denial of Service che interessa MessagePack-CSharp.
Le due vulnerabilità sono considerate zero-day in quanto divulgate prima della correzione, ma non risultano segnalate come sfruttate attivamente nelle fonti disponibili.
CVE-2026-108398: il rischio per Application Control
Windows Defender Application Control consente alle organizzazioni di definire quali applicazioni e componenti software possano essere eseguiti sui sistemi gestiti.
È una misura particolarmente utile per ridurre l’esecuzione di codice non autorizzato, anche quando un attaccante riesce a introdurre un file malevolo.
La vulnerabilità CVE-2026-108398 riguarda un percorso di ricerca non attendibile in .NET Framework.
Secondo Microsoft, un attaccante autenticato potrebbe predisporre un assembly .NET appositamente costruito e registrarlo affinché venga caricato da un processo protetto.
In caso di sfruttamento riuscito, potrebbe aggirare le restrizioni imposte da WDAC ed eseguire codice all’interno del processo interessato, senza richiedere ulteriori interazioni dell’utente.
La falla è stata individuata da James Forshaw di Google Project Zero.
Dal punto di vista aziendale, il problema merita attenzione soprattutto negli ambienti che utilizzano Application Control come controllo compensativo contro malware e software non autorizzato.
La correzione dovrebbe essere accompagnata dalla verifica delle policy WDAC e dei sistemi sui quali vengono applicate.
CVE-2026-92707: Denial of Service nelle applicazioni .NET
La vulnerabilità CVE-2026-92707 interessa MessagePack-CSharp, una libreria utilizzata per la serializzazione e deserializzazione dei dati.
Il problema riguarda una gestione non adeguatamente controllata delle allocazioni di memoria, che può consentire a un attaccante remoto non autorizzato di provocare un Denial of Service.
Il rischio concreto dipende dall’utilizzo della libreria e dall’esposizione delle applicazioni che elaborano dati provenienti da fonti non attendibili.
Per i responsabili della sicurezza applicativa, questa vulnerabilità richiama l’importanza di mantenere un inventario delle dipendenze software e verificare quali componenti siano effettivamente utilizzati nei servizi aziendali.
I nuovi risk cohorts: Microsoft cambia il modo di analizzare le vulnerabilità
La novità più interessante del Patch Tuesday di ottobre riguarda la proposta dei risk cohorts.
Microsoft ha pubblicato un approfondimento ufficiale intitolato Using risk cohorts to prioritize security updates, nel quale illustra un metodo sperimentale per raggruppare le vulnerabilità in base alle valutazioni di rischio che le organizzazioni devono effettuare.
L’idea è relativamente semplice.
Invece di analizzare ogni CVE ripartendo sempre dalle stesse domande, i team possono raggruppare vulnerabilità che richiedono verifiche simili sull’ambiente aziendale.
Per esempio, un insieme di falle che interessa i servizi di accesso remoto può essere valutato inizialmente verificando quali server espongano effettivamente tali funzionalità e attraverso quali percorsi siano raggiungibili.
Microsoft precisa che i raggruppamenti sono provvisori, non costituiscono nuove categorie ufficiali e non sostituiscono l’analisi delle singole CVE.
Dai punteggi CVSS al contesto aziendale
La gravità tecnica di una vulnerabilità rappresenta un elemento essenziale, ma non descrive completamente il rischio per una specifica organizzazione.
Due aziende possono utilizzare lo stesso prodotto Microsoft ed essere esposte in modo molto diverso.
Una vulnerabilità che interessa Remote Desktop Services, per esempio, può avere un impatto differente a seconda che il servizio sia esposto direttamente a Internet, raggiungibile soltanto attraverso accessi controllati oppure disabilitato.
I risk cohorts cercano di rendere più efficiente questa valutazione.
Tra i raggruppamenti pubblicati da Microsoft figurano 136 vulnerabilità relative a file system, storage e backup Windows; 135 riguardanti documenti Office e client di posta; 131 associate all’elaborazione di contenuti grafici e multimediali; 109 relative ai confini di privilegio del kernel e dei componenti principali di Windows.
Altri gruppi interessano servizi di installazione e aggiornamento, periferiche, accesso remoto, autenticazione e protocolli di rete.
L’utilità del modello consiste nella possibilità di verificare una volta sola alcune caratteristiche dell’infrastruttura e utilizzare il risultato come base per la valutazione delle singole vulnerabilità.
I limiti dell’approccio
Microsoft sottolinea che l’appartenenza a uno stesso gruppo non implica necessariamente la presenza della medesima causa tecnica, dello stesso punteggio CVSS o di un’unica correzione applicabile.
All’interno di un cohort possono convivere vulnerabilità con impatti e condizioni di sfruttamento differenti.
Per questo motivo, la presenza di exploit attivi, i privilegi richiesti e l’eventuale necessità di interazione dell’utente devono continuare a essere valutati individualmente.
È una precisazione importante: i risk cohorts possono ridurre il lavoro ripetitivo, ma non devono trasformarsi in un meccanismo che nasconde le eccezioni più pericolose.
L’intelligenza artificiale accelera la scoperta delle vulnerabilità
Il numero record di CVE corrette a ottobre si inserisce in un cambiamento più ampio dei processi di ricerca e individuazione delle vulnerabilità.
Secondo quanto riportato dalle analisi del rilascio, l’utilizzo crescente di strumenti basati sull’intelligenza artificiale sta contribuendo ad aumentare la capacità di identificare difetti nel software.
È un’evoluzione che può migliorare la sicurezza dei prodotti, portando alla correzione di problemi precedentemente sconosciuti.
Allo stesso tempo, però, crea nuove difficoltà per chi deve gestire gli aggiornamenti.
Un’organizzazione che dispone di migliaia di endpoint, server e applicazioni non può limitarsi a trattare tutte le CVE con la stessa priorità.
Deve essere in grado di distinguere rapidamente le vulnerabilità che interessano sistemi critici, quelle già sfruttate e quelle che, pur avendo una gravità elevata, risultano difficilmente raggiungibili nel proprio ambiente.
I risk cohorts rappresentano un possibile strumento di supporto a questa attività, ma richiedono inventari accurati e informazioni affidabili sulle configurazioni dei sistemi.
Senza questi elementi, anche il metodo di prioritizzazione più sofisticato rischia di produrre risultati poco utili.
Fine del supporto per alcune versioni Windows: un’altra priorità di ottobre
Il Patch Tuesday di ottobre 2026 coincide anche con una scadenza importante per il ciclo di vita dei sistemi Microsoft.
Il 13 ottobre 2026 termina il supporto per Windows 11 versione 24H2 nelle edizioni Home e Pro e per Windows 10 Enterprise LTSB 2016.
L’aggiornamento di ottobre rappresenta l’ultimo aggiornamento di sicurezza ordinario per queste edizioni.
Microsoft ha, inoltre, ricordato che Windows 11 versione 23H2 nelle edizioni Enterprise, Education e IoT Enterprise raggiungerà la fine del supporto nel mese successivo.
Per le organizzazioni, queste scadenze richiedono una verifica dell’inventario dei sistemi operativi.
La presenza di dispositivi non più supportati introduce un rischio che non può essere risolto attraverso il normale processo di patching, perché nuove vulnerabilità potrebbero non ricevere ulteriori correzioni.
Il rischio dei sistemi legacy
Le versioni Windows fuori supporto possono essere presenti in postazioni specialistiche, ambienti industriali, sistemi di laboratorio o applicazioni che dipendono da software non aggiornabile.
In questi casi, la migrazione può richiedere interventi complessi.
L’organizzazione dovrebbe quindi pianificare la sostituzione o l’aggiornamento dei sistemi e, quando non sia possibile intervenire immediatamente, applicare misure compensative.
Tra queste rientrano la segmentazione della rete, la limitazione degli accessi, il monitoraggio delle attività e la riduzione dei servizi esposti.
È comunque importante considerare tali misure come una gestione temporanea del rischio, non come un’alternativa permanente al supporto di sicurezza.
Come affrontare il Patch Tuesday di ottobre nelle aziende
Il volume delle vulnerabilità corrette richiede un processo di patch management basato sulle priorità operative.
Il primo intervento dovrebbe riguardare la verifica dell’esposizione a CVE-2026-96951, considerando che la vulnerabilità risulta già sfruttata.
Successivamente occorre identificare i sistemi interessati dalle altre vulnerabilità critiche, con particolare attenzione ai componenti esposti, ai server che gestiscono identità e autenticazione e agli ambienti che elaborano contenuti provenienti da fonti non attendibili.
Le verifiche per CISO e responsabili IT
Un percorso operativo dovrebbe comprendere:
- Identificazione degli asset coinvolti: verificare quali sistemi Windows, applicazioni Office, server SharePoint e altri prodotti Microsoft siano interessati dalle correzioni.
- Priorità allo zero-day sfruttato: individuare i dispositivi vulnerabili a CVE-2026-96951 e applicare gli aggiornamenti con urgenza.
- Analisi delle vulnerabilità critiche: valutare esposizione, privilegi richiesti, possibilità di sfruttamento e importanza dei servizi interessati.
- Verifica dei controlli di sicurezza: controllare l’efficacia di Application Control, EDR, protezioni della posta e restrizioni sull’esecuzione di file non attendibili.
- Gestione dei sistemi fuori supporto: individuare le versioni Windows interessate dalle scadenze di ottobre e pianificare gli interventi necessari.
- Controllo dell’esito delle patch: verificare l’installazione effettiva degli aggiornamenti e monitorare eventuali problemi di compatibilità.
È utile anche mantenere un processo di verifica successivo alla distribuzione.
La semplice approvazione di un aggiornamento attraverso una piattaforma di gestione non garantisce infatti che la correzione sia stata installata correttamente su tutti i sistemi.
Il Patch Tuesday record mette alla prova il vulnerability management
Il Patch Tuesday di ottobre 2026 rappresenta un caso significativo per la gestione delle vulnerabilità aziendali.
Il numero record di CVE corrette evidenzia la crescente complessità degli ecosistemi software. La presenza di una vulnerabilità zero-day già sfruttato dimostra, invece, perché alcune correzioni richiedano interventi immediati, indipendentemente dal volume complessivo degli aggiornamenti.
La proposta dei risk cohorts introduce un ulteriore elemento di riflessione.
Raggruppare vulnerabilità che condividono caratteristiche rilevanti per l’ambiente aziendale può rendere più efficiente l’analisi, soprattutto nelle organizzazioni che gestiscono infrastrutture articolate.
Il metodo, tuttavia, produce risultati soltanto se accompagnato da inventari aggiornati, informazioni sulle configurazioni e una conoscenza precisa delle dipendenze applicative.
Per i CISO, la priorità non dovrebbe quindi essere misurata esclusivamente dal numero di patch distribuite o di CVE chiuse.
Conta soprattutto la capacità di ridurre rapidamente l’esposizione dei sistemi più importanti, dimostrando che le vulnerabilità sfruttabili non rimangono aperte oltre i tempi compatibili con il rischio aziendale.
È su questo terreno che il patch management diventa una componente effettiva della governance della cyber security.
Partecipa alla community