Microsoft Patch Tuesday ottobre: oltre 1.400 falle, tre zero-day e 24H2 EOL

🛡️ Executive Summary

• Il Patch Tuesday di ottobre 2026 supera le 1.400 vulnerabilità corrette: i conteggi pubblici oscillano tra 1.411 e 1.415 in base al perimetro adottato, con decine di falle Critical.
• CVE-2026-96951 in Windows Shell risulta già sfruttata e consente di aggirare una protezione di sicurezza; altre due vulnerabilità erano pubblicamente note prima della disponibilità della patch.
• KB5127648 è l’ultimo aggiornamento per Windows 11 24H2 Home e Pro, mentre Windows 10 continua a ricevere le patch attraverso ESU con KB5126657.

Microsoft chiude ottobre 2026 con il Patch Tuesday più ampio della propria storia recente e, contemporaneamente, con un cambio di fase nel ciclo di vita di Windows. Il pacchetto del 13 ottobre corregge oltre 1.400 vulnerabilità tra Windows, Office, .NET, Active Directory, SharePoint, SQL Server, componenti di deployment, filesystem, networking e strumenti di sviluppo. Una falla in Windows Shell, CVE-2026-96951, risulta già sfruttata in attacchi reali; altre due vulnerabilità erano pubblicamente note prima della patch. Nello stesso giorno Windows 11 24H2 Home e Pro ricevono l’ultimo aggiornamento di sicurezza, Windows 10 prosegue invece soltanto attraverso ESU e Microsoft introduce un nuovo modello di triage chiamato risk cohorts per rendere gestibile un volume di CVE che ha ormai superato la capacità pratica di un’analisi lineare vulnerabilità per vulnerabilità. Dopo le 966 falle e i due zero-day già sfruttati del Patch Tuesday di settembre, ottobre mostra che il problema per gli amministratori non è più semplicemente installare una patch mensile: è stabilire quali superfici aggiornare per prime dentro infrastrutture Windows sempre più estese.

Il record cambia in base al conteggio ma supera comunque 1.400 vulnerabilità

Il primo dato richiede precisione perché le fonti non restituiscono lo stesso numero. BleepingComputer conta 1.411 vulnerabilità, The Hacker News ne indica 1.413, mentre Cisco Talos arriva a 1.415 e classifica 85 problemi come Critical, 67 dei quali RCE. La differenza deriva dal perimetro utilizzato per aggregare CVE, advisory e prodotti nel ciclo mensile e le fonti non pubblicano una riconciliazione completa capace di spiegare ogni singola unità di scarto. Per questo il dato tecnicamente più corretto da utilizzare è oltre 1.400 vulnerabilità. Più significativo del record è quindi il cambiamento strutturale del vulnerability management: Microsoft ha pubblicato una nuova metodologia sperimentale basata sui risk cohorts, raggruppando le CVE in base alle domande operative che un’organizzazione deve porsi. Il modello identifica, tra gli altri, 136 problemi legati a filesystem, storage e backup, 135 su Office e client mail, 131 su grafica e media, 109 sui confini di privilegio kernel, 103 sui servizi di installazione e aggiornamento, 65 sul remote access e RDP e 61 su autenticazione, credenziali e crittografia. Non sostituisce CVSS, exploitability o verifica dello sfruttamento: prova piuttosto a ridurre il lavoro ripetitivo necessario a capire quali asset siano realmente esposti.

Leggi anche: Patch Tuesday agosto: Microsoft corregge centinaia di falle e tre zero-day Windows

CVE-2026-96951 aggira le protezioni di Windows Shell ed è già sfruttata

La priorità immediata resta CVE-2026-96951, vulnerabilità Windows Shell con CVSS 8.8 che Microsoft indica come già sfruttata. Il problema nasce dalla neutralizzazione impropria di elementi speciali utilizzati in un comando e permette a un attaccante non autorizzato di ottenere un security feature bypass attraverso un vettore di rete. L’exploit richiede interazione dell’utente secondo il vettore CVSS pubblicato da Microsoft, ma l’impatto potenziale su confidenzialità, integrità e disponibilità è elevato. La vulnerabilità è collegata al bypass delle protezioni applicate ai contenuti provenienti da fonti non fidate, quindi entra nel terreno del Mark of the Web e delle catene nelle quali un file o un collegamento ostile riesce a superare un controllo destinato a limitarne l’esecuzione. Microsoft non ha reso pubblici dettagli sulle campagne osservate né sull’attore che l’ha sfruttata, rendendo imprudente costruire attribuzioni non supportate. Il dato sufficiente per la gestione del rischio è che non si tratta più di exploitation teorica. La sequenza conferma il problema già emerso nei precedenti Patch Tuesday con zero-day concatenabili ad accessi iniziali ottenuti attraverso phishing o credenziali compromesse: una falla classificata come bypass può diventare decisiva quando permette al payload successivo di raggiungere il sistema saltando una barriera prevista da Windows.

Due zero-day pubblici colpiscono .NET e MessagePack-CSharp

Le altre due vulnerabilità considerate zero-day non risultano indicate come sfruttate, ma erano pubblicamente note prima della disponibilità della correzione. CVE-2026-108398 riguarda .NET Framework e consente a un attaccante locale autenticato di abusare di un untrusted search path per aggirare una protezione. Microsoft specifica che un aggressore potrebbe collocare un assembly .NET appositamente costruito sul sistema e registrarne il caricamento all’interno di un processo protetto, arrivando a superare le restrizioni di Windows Defender Application Control ed eseguire codice che la policy avrebbe dovuto impedire. Non richiede interazione dell’utente ed è stata scoperta da James Forshaw di Google Project Zero. CVE-2026-92707 riguarda invece MessagePack-CSharp e una gestione non correttamente limitata delle allocazioni sequenziali di memoria: array annidati costruiti ad arte possono obbligare il processo a mantenere quantità sproporzionate di memoria prima che intervengano i limiti dell’object graph, generando pressione sul garbage collector fino al denial of service. Nel caso di applicazioni esposte attraverso ASP.NET Core SignalR con MessagePack abilitato, l’attacco può arrivare dalla rete senza autenticazione. La differenza operativa è importante: la prima falla interessa il controllo di ciò che è autorizzato a eseguire localmente, la seconda la disponibilità di servizi che deserializzano input ostile.

Active Directory espone una RCE remota senza autenticazione

Tra le vulnerabilità non ancora sfruttate pubblicamente, una delle priorità più elevate per gli ambienti enterprise è CVE-2026-70229 in Active Directory Domain Services. Microsoft la descrive come una incorrect authorization capace di permettere a un attaccante non autenticato di eseguire codice attraverso la rete. Il CVSS è 8.1: l’attacco non richiede privilegi né interazione dell’utente, ma presenta complessità elevata. Microsoft considera comunque lo sfruttamento più probabile, quindi la vulnerabilità merita una posizione elevata nella coda di remediation dei domain controller. Il problema attraversa un ampio insieme di versioni Windows Server e client, comprese le linee 2012, 2012 R2, 2016, 2019, 2022 e 2025 e i corrispondenti sistemi Windows interessati. In un’infrastruttura Active Directory il rischio non va valutato con la stessa logica di una workstation isolata: il domain controller rappresenta contemporaneamente identità, autenticazione, policy, trust e privilegi dell’intera organizzazione. Una RCE raggiungibile via rete senza credenziali, anche con attack complexity elevata, merita quindi patching prioritario, segmentazione e verifica dell’esposizione dei servizi AD tra reti non fidate.

KB5127648 aggiorna tre generazioni di Windows 11 e chiude definitivamente 24H2 Home e Pro

Sul client, il pacchetto principale è KB5127648, che porta Windows 11 24H2 alla build 26100.9711, 25H2 alla 26200.9711 e 26H2 alla 26300.9711. Oltre alle correzioni di sicurezza, Microsoft continua la distribuzione dei nuovi certificati Secure Boot, introduce auditing e policy opzionali per ReFS su storage esterno, corregge problemi di stampa con driver RAW e Generic Text Only, stuttering del mouse in alcuni giochi e autenticazione tramite impronta dopo un cold boot. Restano invece problemi noti con alcuni dispositivi USB Audio Class 1.0, già parzialmente mitigati dall’out-of-band di settembre. Per gli amministratori che aggiornano immagini offline esiste inoltre un dettaglio da non ignorare: Microsoft richiede che il file boot.stl corretto sia incluso nei media sottoposti a Dynamic Update, altrimenti l’avvio dall’immagine aggiornata può fallire con errore 0xc0430001. Il punto storico è però un altro: questo è l’ultimo cumulativo destinato a Windows 11 24H2 Home e Pro. Dal 14 ottobre quelle edizioni non ricevono più il normale servicing mensile; Enterprise ed Education 24H2 restano invece supportate fino al 12 ottobre 2027. Matrice Digitale aveva già ricostruito la fine del supporto di Windows 11 24H2 e il necessario percorso di migrazione: il Patch Tuesday di ottobre trasforma quella scadenza da avviso a fatto operativo.

Windows 11 23H2 riceve KB5126653 ma Enterprise ed Education hanno un mese

KB5126653 porta Windows 11 23H2 alla build 22631.7652 e rappresenta uno degli ultimi passaggi anche per il ramo precedente: Enterprise ed Education 23H2 raggiungeranno infatti la fine degli aggiornamenti il 10 novembre 2026. Il pacchetto prosegue la rotazione dei certificati Secure Boot, corregge un problema di File History che poteva impedire backup e ripristino su drive esterni o percorsi di rete, interviene su Storage Spaces Direct e introduce anche qui i controlli ReFS destinati allo storage esterno. Microsoft al momento non segnala problemi noti specifici di KB5126653. La concentrazione di scadenze mostra quanto sia diventato rischioso gestire Windows verificando soltanto che “Windows Update sia verde”: occorre conoscere versione, SKU e lifecycle esatto. Un sistema completamente aggiornato il 13 ottobre può trovarsi comunque a poche settimane dalla fine del supporto.

Windows 10 continua soltanto attraverso ESU e LTSC con KB5126657

Windows 10 riceve KB5126657, ma non attraverso il vecchio ciclo ordinario. Il pacchetto è destinato ai sistemi iscritti al programma Extended Security Updates e alle edizioni LTSC supportate: Windows 10 22H2 passa alla build 19045.7807, mentre Enterprise LTSC 2021/21H2 arriva alla 19044.7807. Non arrivano nuove funzioni significative: l’update incorpora le patch di sicurezza, nuovi fusi orari, auditing ReFS e correzioni di qualità. Permane anche sulla piattaforma Windows 10 il problema USB Audio Class 1.0 parzialmente risolto a settembre. Il dato importante è che ESU è ormai diventato un vero ramo di servicing e non un’eccezione temporanea: Matrice Digitale aveva già analizzato il passaggio di Windows 10 verso il modello Extended Security Updates. Per le organizzazioni che conservano macchine Windows 10 per vincoli applicativi o hardware, il rischio è quindi duplice: mantenere correttamente entitlement e licensing ESU e, contemporaneamente, evitare che la disponibilità delle patch diventi il pretesto per rimandare indefinitamente la migrazione.

Continua con:
Windows 11 KB5124008 rompe il trust di dominio e Microsoft pubblica il workaround
Windows settembre: RDS, audio USB e regressioni dopo KB5124008

Il record delle CVE cambia il modo di gestire il Patch Tuesday

Il Patch Tuesday di ottobre non è rilevante soltanto perché supera quota 1.400. Il vero problema è che a questa scala il vecchio modello “leggere la lista delle CVE e ordinare per CVSS” smette di essere sufficiente. CVE-2026-96951 va davanti perché esiste sfruttamento reale; la RCE Active Directory deve salire rapidamente perché attraversa una trust boundary centrale e può essere raggiunta via rete senza autenticazione; le falle Office e media acquistano priorità sulle workstation che processano contenuti esterni; RDP conta soprattutto dove gateway e session host sono esposti; le vulnerabilità kernel diventano più pericolose dove esiste già una probabilità elevata di initial access. È esattamente ciò che Microsoft tenta di formalizzare con i risk cohorts. Parallelamente, il ciclo operativo si complica perché patching e lifecycle convergono: 24H2 Home e Pro ricevono contemporaneamente la protezione contro le minacce di ottobre e la loro ultima patch in assoluto. Per gli amministratori la strategia razionale è quindi tripla: distribuire subito le correzioni sulle superfici sfruttate o ad alto impatto, verificare le regressioni e i known issues prima del deployment massivo, e rimuovere dal parco macchine le versioni che stanno uscendo dal servicing. Un sistema patchato oggi ma fuori supporto domani resta un debito di sicurezza, soltanto rinviato di ventiquattr’ore.