Microsoft ha rilasciato un lotto esteso di aggiornamenti progettato per rimediare a oltre 1.400 vulnerabilità di sicurezza all'interno dei suoi sistemi operativi Windows e del software associato. Questo rilascio rappresenta una significativa escalation nel volume delle patch, superando di gran lunga il record stabilito proprio il mese scorso a settembre, che includeva quasi 1.000 correzioni. La cifra di settembre era già circa dieci volte superiore al carico mensile tipico proveniente da Redmond, rendendo questo aggiornamento di ottobre un evento senza precedenti in termini di scala.
Tra le migliaia di difetti affrontati, una vulnerabilità è classificata come "zero-day", il che indica che è già stata sfruttata nell'ambiente reale. Identificata come CVE-2026-96951, questa elusione delle funzionalità di sicurezza colpisce i sistemi Windows 10 e 11, insieme a determinate versioni Server. Inoltre, almeno 78 delle vulnerabilità corrette questo mese sono valutate come "critiche". Queste vulnerabilità critiche possono essere sfruttate con poca o nessuna interazione dell'utente, permettendo spesso agli attaccanti di eseguire codice arbitrario sui sistemi vulnerabili.
Un altro problema notevole riguarda un bypass delle funzionalità di sicurezza nel .NET Framework (CVE-2026-108398). Sebbene Microsoft abbia dichiarato che attualmente non ci sono segni di sfruttamento attivo, questa vulnerabilità è stata divulgata pubblicamente prima del rilascio di oggi. Questa divulgazione anticipata ha potenzialmente fornito agli attaccanti tempo aggiuntivo per sviluppare metodi per sfruttare il bug prima che la patch diventasse disponibile.
L'enorme volume di correzioni ha attirato l'attenzione degli esperti di sicurezza. Satnam Narang di Tenable ha notato che il conteggio di questo mese supera di gran lunga il record precedente stabilito nel 2020, quando Microsoft ha corretto 1.261 CVE. Narang ha sottolineato che con due mesi rimanenti nell'anno, il numero totale di vulnerabilità affrontate ha già superato la soglia delle 4.000. Microsoft attribuisce questo alto volume di scoperta dei bug all'uso di modelli linguistici su larga scala, che si presume abbiano anche assistito nella generazione di molte delle patch.
Nonostante la scala dell'aggiornamento, gli esperti avvertono che queste ondate di patch insolitamente grandi pongono una significativa pressione sui team di sicurezza aziendali. Le organizzazioni spesso devono testare singoli aggiornamenti prima di distribuirli nelle reti per garantire che le correzioni non interrompano altri software. Tyler Reguly, direttore associato della ricerca e sviluppo sulla sicurezza presso Fortra, ha sottolineato che finora quest'anno solo 26 vulnerabilità Microsoft sono apparse nel catalogo "Known Exploited Vulnerabilities" (Vulnerabilità note sfruttate) dell'Agenzia per la Sicurezza Cibernetica e delle Infrastrutture degli Stati Uniti (CISA). Ha consigliato ai leader della sicurezza di dare priorità alla correzione di queste specifiche 26 vulnerabilità, concentrandosi sul rischio sfruttabile e valutando se i loro team hanno la chiarezza e la capacità necessarie per agire.
Per le organizzazioni che cercano di identificare quali vulnerabilità richiedono maggiore scrutinio, risorse come Cisco Talos e il SANS Internet Storm Center hanno pubblicato riepiloghi che indicizzano i difetti in base alla gravità, al numero CVE e al software interessato.
Fonti: Krebs on Security.