Microsoft rilascia il Patch Tuesday di novembre 2025, un aggiornamento mensile di sicurezza che risolve 63 vulnerabilità nei prodotti Windows e una zero-day attivamente sfruttata in ambiente reale. L’azienda interviene su un’ampia gamma di componenti, tra cui Microsoft Office, SQL Server, Azure AI Toolkit, Azure Stack, .NET, SharePoint, Visual Studio e vari servizi del sistema operativo. La release include anche aggiornamenti cumulativi per Windows 11 e il primo pacchetto ESU (Extended Security Update) per Windows 10, assicurando copertura a milioni di dispositivi dopo la fine del supporto ufficiale.

Zero-day CVE-2025-43589 e vulnerabilità critiche

La falla più grave del mese è CVE-2025-43589, una elevation of privilege in Windows AppLocker, sfruttata attivamente per aggirare i blocchi applicativi imposti dalle policy aziendali. Questa vulnerabilità interessa Windows 10, Windows 11 e Windows Server dal 2016 al 2025, e ottiene un punteggio CVSS di 7,8. Secondo Talos Intelligence, l’exploit consente a un utente malintenzionato di eseguire software non autorizzato eludendo i controlli di sicurezza. Microsoft conferma attività malevole in corso e raccomanda l’installazione immediata delle patch per prevenire escalation di privilegi locali. Tra le dodici vulnerabilità classificate come critiche, emergono le due di Microsoft Office, CVE-2025-43584 e CVE-2025-43585, che permettono esecuzione di codice remoto mediante documenti malformati. La prima interessa i file di Word e PowerPoint, la seconda coinvolge Microsoft Excel e richiede interazione dell’utente per l’apertura di allegati compromessi. Entrambe derivano da un parsing errato delle strutture dati e possono essere sfruttate per ottenere l’accesso non autorizzato ai sistemi. Nel comparto sviluppo, CVE-2025-43599 in Visual Studio consente l’esecuzione di codice remoto attraverso pacchetti manipolati, rappresentando un rischio per gli sviluppatori che installano estensioni di terze parti. Le vulnerabilità CVE-2025-43596 e CVE-2025-43598 impattano rispettivamente .NET e Azure Stack Hub, consentendo escalation di privilegi locali o cloud con punteggi fino a 8,8 CVSS, mentre CVE-2025-43605 in Azure AI Toolkit apre la strada a possibili abusi nei tool di intelligenza artificiale.

Aggiornamenti cumulativi per Windows 11

Microsoft distribuisce i pacchetti KB5068861 per Windows 11 24H2 e KB5068865 per Windows 11 23H2 e 22H2, entrambi contenenti fix cumulativi e miglioramenti di stabilità. Il primo update corregge un problema che causava la scomparsa della barra delle applicazioni in modalità tablet e risolve errori di Esplora file durante la navigazione. Gli utenti segnalavano instabilità dopo aggiornamenti precedenti, ora sanate con la nuova build. Il secondo pacchetto, KB5068865, corregge malfunzionamenti nelle stampanti e ottimizza le prestazioni delle app legacy. Entrambi i pacchetti includono la patch per la zero-day CVE-2025-43589, assicurando protezione immediata per i sistemi aggiornati. Microsoft raccomanda il riavvio del dispositivo dopo l’installazione e conferma la disponibilità via Windows Update o download manuale dal portale ufficiale. Le dimensioni del pacchetto variano tra 400 e 500 MB, a seconda dell’edizione del sistema operativo.

Supporto esteso per Windows 10 tramite ESU

Parallelamente, Microsoft avvia la distribuzione di KB5068781, il primo aggiornamento di sicurezza nell’ambito del programma Extended Security Update (ESU) per Windows 10. Dopo la fine del supporto ufficiale, l’azienda offre patch critiche a un costo di 28 euro all’anno per dispositivo, garantendo copertura fino al 2028. Il pacchetto corregge vulnerabilità nel kernel di Windows simili a quelle affrontate nel Patch Tuesday principale, mantenendo la protezione dei sistemi legacy ancora in uso in ambito aziendale e pubblico. Microsoft ha rilasciato anche un update d’emergenza per risolvere un bug che impediva l’attivazione del servizio ESU su alcuni dispositivi. Una volta installata la patch correttiva, gli utenti possono verificare lo stato di attivazione nelle impostazioni di sistema. Il programma ESU prevede sconti volume per le imprese e rappresenta una soluzione temporanea per chi non può ancora migrare a Windows 11. La casa di Redmond fornisce inoltre una guida passo-passo per l’iscrizione e l’attivazione tramite portale dedicato.

Fine del supporto per Windows 11 23H2

Il ciclo di aggiornamenti di novembre segna anche la fine del supporto per Windows 11 23H2 nelle edizioni Home e Pro, che non riceveranno più patch di sicurezza. Microsoft invita gli utenti ad aggiornare alla versione 24H2, forzando automaticamente l’upgrade sui dispositivi compatibili. Chi sceglie di rimandare l’aggiornamento rischia vulnerabilità non mitigate e problemi di compatibilità con le nuove applicazioni. Le edizioni Enterprise e Education continueranno a ricevere aggiornamenti fino a ottobre 2026, ma la transizione verso la 24H2 diventa cruciale per garantire stabilità e accesso alle nuove funzioni del sistema operativo, tra cui SFI (Secure Fabric Isolation) e Hotpatching. Microsoft consiglia agli utenti di effettuare un backup completo prima dell’upgrade per prevenire perdite di dati e di utilizzare gli strumenti di compatibilità hardware per una migrazione senza interruzioni.

Patch e mitigazioni nel kernel di Windows

Oltre alle vulnerabilità già menzionate, l’aggiornamento di novembre affronta una lunga serie di flaw nel Windows Kernel, che spaziano dalla gestione dei driver di periferica alla virtualizzazione e all’esecuzione di codice a livello kernel. Ogni vulnerabilità, da CVE-2025-43587 a CVE-2025-43652, presenta un punteggio CVSS medio di 7,8, indicando un rischio elevato di escalation di privilegi locali. Queste patch migliorano la gestione della memoria e la convalida degli handle di sistema, riducendo il rischio di corruzione dati e crash. Gli exploit di questo tipo sono spesso utilizzati da malware e rootkit per ottenere controllo persistente sui dispositivi. Gli aggiornamenti sono già inclusi nei pacchetti cumulativi di Windows 10 e 11 e nelle versioni Server, con priorità alta per gli amministratori IT.

Sicurezza cloud e strumenti di sviluppo

Sul fronte cloud, Azure Stack Hub e Azure AI Toolkit ricevono patch per escalation di privilegi e abusi dei container di esecuzione. Questi fix rafforzano la sicurezza degli ambienti ibridi e mitigano i rischi per i servizi distribuiti in produzione. Nel settore sviluppo, Microsoft aggiorna Visual Studio e .NET Framework, eliminando vulnerabilità che potevano permettere l’esecuzione di codice non firmato. In particolare, CVE-2025-43599 e CVE-2025-43596 correggono falle che potevano essere sfruttate durante la fase di build o installazione di pacchetti NuGet, un vettore comune per gli attacchi supply chain. Gli aggiornamenti mirano a rafforzare la sicurezza del ciclo di sviluppo, in linea con le politiche di secure-by-design introdotte da Redmond nel 2024.

Impatto operativo e raccomandazioni

Il Patch Tuesday di novembre 2025 evidenzia l’impegno di Microsoft nel rafforzare la superficie di difesa integrata dei propri sistemi, combinando patch per ambienti legacy, aggiornamenti cumulativi e mitigazioni cloud-native. Gli amministratori sono invitati a verificare la corretta applicazione delle patch tramite Windows Update for Business o WSUS, assicurando la conformità agli standard di sicurezza. Gli utenti domestici e aziendali devono completare gli aggiornamenti entro pochi giorni dall’uscita per ridurre il rischio di attacchi exploit-based, in particolare nel caso della zero-day CVE-2025-43589, già in uso in campagne mirate. Microsoft monitora costantemente il feedback della community e promette ulteriori fix incrementali nei prossimi aggiornamenti mensili.

Riepilogo CVE di Microsoft

Questo rapporto contiene dettagli sulle seguenti vulnerabilità: