Microsoft ha corretto oltre 1.400 falle, una è già sfruttata negli attacchi

Microsoft ha distribuito il 13 ottobre 2026 aggiornamenti per correggere oltre 1.400 vulnerabilità in Windows e in altri programmi, dando così forma al pacchetto mensile di sicurezza più ampio della sua storia.

La distribuzione delle correzioni, conosciuta come Patch Tuesday, interessa anche componenti di Office, servizi destinati alle aziende e strumenti di sviluppo. Tra le falle corrette figura un problema di Windows già sfruttato durante attacchi reali, evento questo che genera sempre un po’ di timore ma che, storicamente, non è rarissimo. Il numero preciso varia nelle rilevazioni dei ricercatori. L’analisi di Tenable registra 1.407 vulnerabilità, il resoconto di Cisco Talos ne considera 1.415 e, al di là delle differenze numeriche, resta un volume di correzioni eccezionale.

Ogni vulnerabilità è identificata da un codice CVE, lo standard usato per catalogare pubblicamente le vulnerabilità informatiche.

La vulnerabilità già sfruttata

La priorità riguarda CVE-2026-96951, una falla della Windows Shell, il componente che gestisce elementi essenziali dell’interfaccia e l’apertura dei file. Il difetto permette di aggirare una protezione di Windows chiamata Mark of the Web, che segnala i file provenienti da internet e contribuisce ad attivare avvisi e restrizioni di sicurezza.

Secondo la ricostruzione di Tenable, l’aggressore può indurre la vittima ad aprire un file preparato appositamente, ricevuto attraverso un messaggio o un’email. L’operazione può così superare una barriera progettata per rendere più sicura l’esecuzione di contenuti scaricati dalla rete.

La vulnerabilità è considerata grave e ha ricevuto un punteggio di 8,8 su 10 secondo il Common Vulnerability Scoring System (CVSS), lo standard internazionale utilizzato per valutare la pericolosità delle falle informatiche. Il problema interessa diverse versioni di Windows 10, Windows 11 e Windows Server, il sistema operativo Microsoft utilizzato principalmente per gestire server e infrastrutture informatiche aziendali.

Le falle che riguardano .NET, Exchange e le reti aziendali

Tra i problemi divulgati pubblicamente prima della disponibilità della correzione compare CVE-2026-108398, che interessa .NET Framework, una piattaforma usata per eseguire molte applicazioni Windows. In determinate condizioni, il difetto consente di superare i controlli di Windows Defender Application Control, lo strumento con cui le organizzazioni stabiliscono quali applicazioni sono autorizzate a funzionare. La divulgazione precedente alla patch aumenta l’attenzione richiesta agli amministratori, pure in assenza di segnalazioni di sfruttamento attivo da parte di Microsoft.

Un’altra vulnerabilità, CVE-2026-70229, riguarda Active Directory Domain Services, il servizio che gestisce identità, account e autorizzazioni in molte reti aziendali. Un pacchetto di rete costruito appositamente potrebbe consentire l’esecuzione di codice su un sistema vulnerabile e, parallelamente, la falla CVE-2026-70571 coinvolge invece Microsoft Exchange Server, software impiegato per la posta elettronica nelle organizzazioni. Anche in questo caso la conseguenza potenziale è l’esecuzione di codice, attraverso un’email malevola elaborata dal server. Le due vulnerabilità sono classificate come critiche.

Il contributo dell’IA alla scoperta delle falle

La crescita delle vulnerabilità identificate coincide con un impiego più intenso dell’intelligenza artificiale nelle verifiche sul codice. In un rapporto pubblicato il 7 ottobre, Microsoft ha spiegato che FORGE, il laboratorio interno specializzato nella ricerca di vulnerabilità con il supporto delle IA, ha contribuito a individuare 140 vulnerabilità di Windows tra maggio e settembre del 2026, 52 delle quali confluite negli aggiornamenti di settembre. Il laboratorio utilizza MDASH, un sistema sviluppato da Microsoft che coordina modelli di IA e strumenti di analisi per esaminare il software alla ricerca di comportamenti rischiosi.

I risultati illustrano un cambiamento nel lavoro di ricerca. Sistemi automatici possono individuare più rapidamente errori e produrre elementi utili alla loro verifica. Microsoft descrive però un passaggio altrettanto impegnativo che coincide con il confermare i difetti, sviluppare le correzioni, provarne la compatibilità e distribuirle.

Come scegliere le correzioni prioritarie

Per le imprese, applicare contemporaneamente un numero così elevato di patch richiede verifiche sulle applicazioni interne e sui servizi più delicati. La priorità va assegnata alle vulnerabilità già sfruttate, ai sistemi esposti a Internet e ai componenti essenziali per l’attività. Il catalogo KEV della CISA, l’agenzia americana per la sicurezza informatica, raccoglie le falle per le quali esistono evidenze di sfruttamento e rappresenta uno strumento utile per organizzare gli interventi.

Per chi usa un computer personale, la misura immediata consiste nell’installare gli aggiornamenti ufficiali attraverso Windows Update e completare l’eventuale riavvio. È utile verificare con attenzione l’origine delle richieste di aggiornamento, perché esistono anche finti siti Microsoft che distribuiscono malware presentandosi come pagine di assistenza o procedure di installazione.

La procedura corretta è quella di avviare Impostazioni / Windows Update, affinché il sistema operativo individui le patch da installare sul computer.

Windows 10 riceverà aggiornamenti di sicurezza fino al 2027

Il pacchetto di aggiornamenti di ottobre arriva in una fase di transizione per Windows 10. Dopo la fine del supporto ordinario nell’ottobre 2025 e il confronto sulle condizioni riservate agli utenti europei, Microsoft ha aggiornato la durata del programma Extended Security Updates (ESU). La pagina ufficiale dedicata agli utenti privati indica ora il 12 ottobre 2027 come scadenza della copertura per i PC idonei e registrati.

Il programma riguarda Windows 10 nella versione 22H2 e fornisce aggiornamenti di sicurezza critici e importanti. Per gli utenti privati nello Spazio economico europeo l’adesione è gratuita mantenendo l’accesso al computer con l’account Microsoft utilizzato per la registrazione. È prevista anche una modalità a pagamento per conservare un account locale. Le aziende seguono un programma distinto, con condizioni e durata proprie.