Quando ho aperto il Patch Tuesday di ottobre 2026, il primo impulso è stato controllare i numeri due volte. 1.411 vulnerabilità corrette in un singolo rilascio: è un evento senza precedenti nella storia di Microsoft e rappresenta una vera sfida operativa per chi come me gestisce infrastrutture Windows in produzione.
Ma il numero bruto racconta solo metà della storia. Quello che rende critico questo mese è il mix tossico di zero-day attivamente sfruttati, la vastità geografica delle organizzazioni colpite e, soprattutto, il fatto che Windows 11 24H2 ha terminato il supporto il 13 ottobre. Vi spiego come ho navigato questa tempesta di patch e vi mostro come prioritizzare i vostri aggiornamenti usando il nuovo approccio dei Risk Cohorts di Microsoft.
1.411 Vulnerabilità: Come Siamo Arrivati a Questi Numeri Folli
All’inizio pensavo che il Patch Tuesday di settembre con 966 vulnerabilità fosse già un’anomalia. Ottobre lo ha surclassato di circa 450 falle in più.
Oggi è il Patch Tuesday di Microsoft di ottobre 2026, con aggiornamenti di sicurezza che affrontano un numero record di 1.411 falle, inclusa una zero-day attivamente sfruttata e due zero-day divulgate pubblicamente. La distribuzione è:
- 677 Elevation of Privilege (48% del totale)
- 317 Remote Code Execution (22% del totale)
- 254 Information Disclosure (18% del totale)
- 73 Denial of Service
- 40 Security Feature Bypass
- 28 Spoofing
Nella mia esperienza con enterprise customer, le vulnerabilità EoP sono quelle che vi costano sonno: permettono a un attaccante autenticato (anche con privilege limitati) di arrivare a SYSTEM o ADMIN.
Le Tre Zero-Day: Una è Già Sfruttata Attivamente
Questo Patch Tuesday corregge una zero-day attivamente sfruttata e due zero-day divulgate pubblicamente. La vulnerabilità zero-day attivamente sfruttata è CVE-2026-96951, un Windows Shell Security Feature Bypass.
CVE-2026-96951: La Vulnerabilità che Vi Uccide Oggi
Il difetto permette agli attaccanti di aggirare Mark of the Web (MotW), un meccanismo di sicurezza Windows che identifica i file scaricati da internet e applica protezioni aggiuntive. Io ho configurato questa protezione su decine di macchine enterprise—è una delle poche cose che vi ferma dall’eseguire involontariamente malware scaricato da email.
Microsoft ha assegnato al difetto un punteggio CVSS 3.1 di 8.8 con vettore AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Tradotto: lo sfruttamento è da remoto, è facile, non serve privilegi ma serve interazione dell’utente, e l’impatto è altissimo su confidenzialità, integrità e disponibilità.
CISA ha ordinato alle agenzie federali di patchare questa vulnerabilità entro il 16 ottobre. Non è casuale—gli attaccanti la stanno usando adesso.
CVE-2026-108398 e CVE-2026-92707: I Due Zero-Day Pubblicamente Divulgati
Gli altri due difetti segnalati affettano .NET Framework e MessagePack-CSharp e sono stati descritti come divulgati pubblicamente prima che fossero disponibili le patch.
CVE-2026-108398 è un security feature bypass in .NET Framework che può essere sfruttato per eseguire applicazioni non autorizzate e consentire agli attaccanti di aggirare Windows Defender Application Control (WDAC). Ho visto questa tecnica usata in operazioni di attacco sofisticate: una volta che l’attaccante bypassa WDAC, può caricare codice arbitrario.
La Vera Novità: Risk Cohorts—Come Gestire 1.411 Vulnerabilità
Quando ho letto la nota di Microsoft sui Risk Cohorts, ho avuto l’eureka moment. Microsoft chiama queste raggruppamenti provvisori “risk cohorts”, un modo esplorativo per aiutare i clienti a organizzare la loro analisi.
Il problema è questo: analizzare 1.411 CVE uno per uno è logisticamente impossibile. Ma un risk cohort è un gruppo di CVE che richiedono una simile valutazione dal team IT. Le vulnerabilità nello stesso cohort non necessariamente condividono la stessa causa radice o lo stesso punteggio CVSS. Quello che condividono è una domanda sul vostro ambiente, ad esempio: questo ruolo è deployed nel vostro ambiente?
I 15 Risk Cohorts di Ottobre
MSRC ha pubblicato una lista che illustra l’approccio con 15 cohort, da “Windows filesystems, storage and backup” con 136 CVE, fino a “directory, federation and certificate infrastructure” con 24 CVE.
Nella mia esperienza con data center e server virtuali, vi consiglio di cominciare da questi:
- Windows Filesystem, Storage & Backup (136 CVE) – Se fate backup, potete avere problemi critici qui. Ho appena mitigato una situazione dove una vulnerabilità EoP poteva compromettere il VSS writer.
- Remote Access (65+ CVE) – Se esponete RDP, VPN o simile su internet, questa è la vostra. Punto.
- Kernel & Drivers (50+ CVE) – Se caricate driver custom (cosa sconsigliata ma succede), controllate qui.
- Directory, Federation & Certificate Infrastructure (24 CVE) – Se usate Active Directory, questo è critico per la vostra infrastruttura. Ho visto AD compromise di conseguenza.
Come Usare I Risk Cohorts nella Pratica
Ecco il flusso che ho adottato:
- Priorità 0: CVE-2026-96951 (Immediatamente) – Applicate questo come se fosse un incident response. Già sfruttato.
- Priorità 1: Cohort critico per la vostra infrastruttura – Identificate quale cohort rappresenta il vostro attack surface più grande. Se esponete RDP, è Remote Access. Se fate backup, è Filesystem. Rispondete alla domanda una volta per tutto il cohort.
- Priorità 2: Cohort importante ma non esposto – Active Directory, Exchange, SharePoint se in uso.
- Priorità 3: Il resto – Questo non significa che potete ignorare, significa che potete testare in staging prima di rollout production.
All’inizio non stavo facendo bene perché pensavo di dovermi leggere i 1.411 advisory uno per uno. Poi ho capito che anziché chiedervi 65 volte se un remote desktop gateway è raggiungibile da internet, un analista risponderebbe alla domanda una volta e porterebbe il risultato a ogni flaw RDP nel gruppo.
Comandi Pratici: Come Identificare le Vostre Vulnerabilità
Se usate Plesk (come faccio io per hosting), il primo passo è verificare quale Windows è in uso:
Su PowerShell (Amministratore):
Get-ComputerInfo | Select-Object OsName, OsVersion– Vi dice quale versione Windows state usandoGet-HotFix | Where-Object {$_.HotFixID -eq 'KB5044277'} | Select-Object HotFixID, InstalledOn– Controlla se il patch di ottobre è installatoGet-WindowsOptionalFeature -FeatureName RSAT-AD-Tools -Online– Verifica se avete AD Tools installato (parte di cohort Directory/Federation)
Se usate Plesk per la gestione del server, potete verificare gli aggiornamenti da:
Plesk > Server > Updates:
- Abilitare “Install updates automatically” se non già fatto
- Verificare “Latest updates” per vedere quando è stato l’ultimo patch
- Se vedete CVE-2026-96951 come “Installed”, siete a posto. Se non vedete nulla, triggerate manualmente l’aggiornamento.
Per l’istanza Exchange Server (se la usate on-premises):
Get-ExchangeServer | fl Name, Edition, AdminDisplayVersion
CVE-2026-70571 è una Remote Code Execution vulnerability in Microsoft Exchange Server causata da un heap-based buffer overflow che potrebbe permettere a un attaccante non autenticato di eseguire codice da remoto. Se la vedete, è Priorità 1.
Connessione con la Vostra Strategia di Sicurezza Più Ampia
Se avete implementato una strategia di Attack Surface Reduction come consiglio sempre, i Risk Cohorts diventano ancora più utili. Ad esempio:
- Se avete già lockdown RDP dietro Zero Trust, il Remote Access cohort diventa “low priority”
- Se avete encrypted virtual machines con Intel SGX, il Kernel cohort è meno critico
Quello che non dovete fare è credere che Risk Cohorts vi dica cosa non patchare. I Cohort non sostituiscono un’attenta revisione delle vulnerabilità ad alta gravità o attivamente sfruttate. Possono ridurre l’analisi ripetitiva in grandi rilasci e aiutare i team a dedicare più tempo alle eccezioni.
FAQ
Domanda: Se non espongo RDP verso internet, posso ritardare il Remote Access cohort?
Tecnicamente sì, ma con cautela. Se RDP è behind VPN o Zero Trust, il rischio è minore. Ma vi consiglio comunque di patchare entro una settimana—i vostri utenti VPN potrebbero essere compromessi e voi non lo sapete ancora.
Domanda: CVE-2026-96951 è già stata sfruttata contro di me?
Non lo sapete con certezza. Se avete user che clicca su link sospetti via email, potrebbe essere stata sfruttata. Eseguite un scan per malware + applicate il patch. Consiglio anche di abilitare logging dettagliato in Windows Event Viewer sui 4688 events (process creation).
Domanda: Posso ignorare i 40 Security Feature Bypass per foccarmi su RCE?
No. Security Feature Bypass (come il WDAC bypass di CVE-2026-108398) è una primitiva che gli attaccatori usano come primo passo per eseguire RCE. Una volta that WDAC è bypassato, state in una situazione much più grave.
Domanda: I Risk Cohorts cambieranno il modo in cui Microsoft classifica le CVE in futuro?
Microsoft è stata attenta a non overselling l’idea dei Risk Cohort, e ha descritto i raggruppamenti come provvisori che non appariranno nella Security Update Guide per ora. “Non stiamo annunciando un nuovo framework di classificazione Microsoft o di prioritizzazione delle vulnerabilità”, ha detto MSRC. Quindi sono sperimentali e potrebbero non comparire nei prossimi mesi. Ma il concetto è valido.
Domanda: Quanto tempo ci vuole per patchare tutta l’organizzazione?
Dipende dalla vostra infrastruttura. Una piccola PMI (30 macchine): 2-3 giorni con testing. Un’azienda media (500+ macchine): una settimana se riuscite a parallelizzare su gruppi di deploy. Una larga enterprise: 2-3 settimane anche con orchestrazione automatica. Il CVE-2026-96951 va dentro il primo wave comunque.
Conclusione: Nuovi Tempi Richiedono Nuove Prioritizzazioni
Questo è un Patch Tuesday record mentre Microsoft continua a usare piattaforme AI per trovare e mitigare vulnerabilità nei suoi prodotti. Non è casuale: Microsoft ha deployato strumenti di auditing automatico del codice (AI-driven) e stanno scovando bachi latenti che gli umani hanno perso per anni.
Nel mio approccio operativo a questo Patch Tuesday, ho:
- Patchato CVE-2026-96951 su tutte le macchine entro 24 ore
- Identificato i miei Risk Cohort principali (Filesystem, Remote Access, AD)
- Creato un piano di deployment graduato su una settimana
- Abilitato monitoring aggravato per segni di exploit tentati
Il vostro mileage potrebbe variare, ma il framework rimane: zero-day attivamente sfruttate prima, Risk Cohort della vostra infrastruttura secondo, il resto terzo.
Se gestite Plesk in hosting come me, vi consiglio di leggere anche come implementare un security baseline automation per non ritrovarvi in questa situazione ogni volta.
Quale Risk Cohort vi preoccupa di più? Commentate qui sotto come la vostra organizzazione sta gestendo questo Patch Tuesday.