🛡️ Executive Summary
- L’accumulo di metadata rallenta o interrompe la sincronizzazione WSUS, impedendo agli amministratori di ricevere le informazioni sugli aggiornamenti più recenti.
- La mitigazione del 18 luglio ripristina le sincronizzazioni sui server WSUS nuovi o reinstallati, mentre resta aperto il recupero degli ambienti esistenti.
- Microsoft prepara procedure per rimuovere i metadata problematici; interventi manuali non documentati possono compromettere la stabilità del database WSUS.
Microsoft sta gestendo un problema che provoca ritardi prolungati e timeout nelle sincronizzazioni WSUS, diventato particolarmente evidente dal 13 luglio 2026. Il malfunzionamento impedisce ad alcuni server Windows Server Update Services di scaricare correttamente i metadata necessari per distribuire gli aggiornamenti Windows nelle reti aziendali. Una prima mitigazione, applicata il 18 luglio, ha ripristinato il normale funzionamento sulle installazioni nuove o ricostruite. Per i server già colpiti, Microsoft sta preparando procedure dedicate alla rimozione sicura dei metadata accumulati, invitando gli amministratori a evitare modifiche manuali non documentate.
Cosa leggere
L’accumulo dei metadata rallenta la sincronizzazione WSUS
La causa del problema risiede nell’accumulo di metadata di pubblicazione elaborati durante la sincronizzazione con Microsoft Update. WSUS scarica quotidianamente cataloghi, classificazioni, revisioni e informazioni necessarie a stabilire quali patch debbano essere offerte ai dispositivi gestiti. Quando questa quantità di dati cresce oltre determinati livelli, la sincronizzazione può richiedere molto più tempo del normale oppure interrompersi per timeout. Il server locale non riceve quindi i riferimenti agli aggiornamenti più recenti e non può approvarli per i client Windows. Un precedente problema WSUS aveva già complicato la distribuzione degli aggiornamenti insieme alle modifiche di Windows 10 e Windows 11, confermando quanto la disponibilità del catalogo centrale sia decisiva per le infrastrutture aziendali.
Il blocco ritarda le patch distribuite nelle reti aziendali
WSUS consente alle organizzazioni di scaricare una sola volta gli aggiornamenti Microsoft, testarli e distribuirli in modo controllato a workstation e server interni. Lo stesso catalogo può essere utilizzato da Microsoft Configuration Manager, rendendo il problema rilevante anche per ambienti gestiti attraverso strumenti più articolati. Se la sincronizzazione non si completa, le patch pubblicate con il Patch Tuesday di luglio 2026 possono non comparire nella console amministrativa, ritardando approvazione e installazione. Il difetto non costituisce direttamente una vulnerabilità, ma aumenta il periodo nel quale sistemi esposti restano privi delle correzioni disponibili. L’impatto cresce nelle reti che impediscono ai dispositivi di collegarsi direttamente a Windows Update e dipendono interamente dal server WSUS locale.
Il problema coinvolge numerose versioni client e server
L’anomalia interessa infrastrutture che gestiscono Windows 11 26H1, 25H2, 24H2 e 23H2, oltre a Windows 10 22H2, 21H2, 1809 e alle edizioni Enterprise LTSC 2019 e 2016. Sul versante server risultano coinvolti ambienti basati su Windows Server 2025, 2022, 2019, 2016, 2012 R2 e 2012. L’elenco non indica che ogni dispositivo client manifesti direttamente un errore: il punto critico è il server incaricato di ottenere e distribuire i metadata relativi a queste piattaforme. Il ruolo di WSUS resta centrale nonostante Microsoft ne abbia avviato la deprecazione a favore dei servizi cloud di gestione degli aggiornamenti. Migliaia di organizzazioni continuano infatti a utilizzarlo per ragioni di controllo, compatibilità, isolamento della rete e gestione dei sistemi meno recenti.
La mitigazione protegge i server nuovi o reinstallati
Dal 18 luglio 2026, Microsoft ha applicato una mitigazione lato servizio che impedisce alle nuove installazioni e alle reinstallazioni di WSUS di acquisire i metadata responsabili dei rallentamenti. Su questi server le sincronizzazioni sono tornate a completarsi regolarmente, consentendo di recuperare il catalogo e riprendere la distribuzione delle patch. La misura non ripulisce però automaticamente gli ambienti già interessati, nei quali i dati problematici risultano presenti nel database locale. Ricostruire il server permette di beneficiare immediatamente della mitigazione, ma non rappresenta necessariamente la soluzione migliore per infrastrutture complesse con approvazioni, gruppi di computer e configurazioni consolidate. La progressiva trasformazione di WSUS e delle modalità di importazione degli aggiornamenti rende inoltre necessario valutare con attenzione l’impatto di una reinstallazione sui processi amministrativi esistenti.
Microsoft prepara la pulizia degli ambienti già colpiti
Per i server che continuano a mostrare sincronizzazioni molto lunghe o timeout, Microsoft sta sviluppando una procedura capace di rimuovere in sicurezza i metadata di pubblicazione accumulati. Gli amministratori dovrebbero controllare la cronologia delle sincronizzazioni nella console WSUS, verificare errori ricorrenti e monitorare la crescita del database, ma attendere le istruzioni ufficiali prima di cancellare manualmente record o categorie. Interventi diretti su SUSDB, script di pulizia aggressivi o modifiche non supportate possono compromettere approvazioni e coerenza del catalogo. La cautela è particolarmente importante perché WSUS è già stato bersaglio di vulnerabilità e operazioni offensive, come mostra l’attacco ShadowPad contro server esposti attraverso CVE-2025-59287. Gli ambienti devono quindi recuperare la sincronizzazione senza indebolire sicurezza e integrità del servizio.
Gli amministratori devono monitorare la catena degli aggiornamenti
Le nuove installazioni non dovrebbero più manifestare il problema, mentre gli ambienti esistenti devono verificare durata e risultato delle sincronizzazioni giornaliere. In presenza di timeout, è opportuno controllare se gli aggiornamenti recenti compaiano nella console e se Configuration Manager riesca a completare il proprio ciclo di sincronizzazione. Le organizzazioni con procedure di emergenza possono valutare canali alternativi per distribuire le patch più urgenti, evitando però di introdurre configurazioni incoerenti tra dispositivi. Microsoft continua a monitorare la situazione e pubblicherà le istruzioni per la pulizia dei server già colpiti. Fino ad allora, attendere la mitigazione ufficiale resta più sicuro di intervenire direttamente sul database WSUS, salvo la possibilità di effettuare una reinstallazione controllata e compatibile con le esigenze dell’infrastruttura.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
