Microsoft corregge 570 falle nel Patch Tuesday, 622 nel conteggio esteso

🛡️ Executive Summary

• Il Patch Tuesday corregge 570 vulnerabilità pubblicate il 14 luglio; il conteggio esteso sale a 622 includendo falle risolte in altri prodotti durante il mese.
• CVE-2026-56155 in AD FS e CVE-2026-56164 in SharePoint risultano sfruttate attivamente; CVE-2026-50661 permette un bypass fisico di BitLocker.
• Gli amministratori devono aggiornare prioritariamente SharePoint, AD FS, Office e sistemi Windows esposti, verificando AMSI, compatibilità applicativa e stato delle installazioni.

Microsoft pubblica il più esteso Patch Tuesday della propria storia recente, correggendo 570 vulnerabilità attraverso gli aggiornamenti distribuiti il 14 luglio 2026. Il totale sale a 622 falle adottando un conteggio più ampio che comprende anche vulnerabilità risolte in altri prodotti Microsoft nei giorni precedenti del mese. La distinzione è importante: 570 rappresenta il perimetro rigoroso del Patch Tuesday, mentre 622 include aggiornamenti aggiuntivi per servizi cloud e applicazioni non necessariamente pubblicati nella stessa giornata. Il pacchetto affronta tre zero-day, due delle quali già sfruttate in attacchi: CVE-2026-56155 in Active Directory Federation Services e CVE-2026-56164 in Microsoft SharePoint Server. La terza, CVE-2026-50661, era stata divulgata pubblicamente e consente di aggirare BitLocker disponendo dell’accesso fisico al dispositivo.

Perché il conteggio oscilla tra 570 e 622 vulnerabilità

La differenza tra i due numeri deriva dal metodo utilizzato per delimitare il Patch Tuesday. Il conteggio di 570 vulnerabilità comprende le CVE per le quali Microsoft ha pubblicato gli aggiornamenti nella giornata del 14 luglio, escludendo i difetti corretti precedentemente nello stesso mese in servizi come Azure, Microsoft 365 Copilot, Exchange Online, Entra Provisioning Service e altre piattaforme cloud. Il totale di 622 aggrega invece un perimetro mensile più ampio. Entrambi i dati descrivono quindi un rilascio eccezionale, ma non sono intercambiabili: per una ricostruzione tecnicamente precisa è corretto indicare 570 falle nel Patch Tuesday e 622 nell’intero ciclo di sicurezza di luglio. Nel pacchetto del 14 luglio figurano 59 vulnerabilità Critical, delle quali 48 consentono remote code execution, nove elevation of privilege, una security feature bypass e una spoofing. La distribuzione complessiva comprende circa 254 escalation dei privilegi, 145 remote code execution, 102 information disclosure, 35 denial of service, 17 bypass delle funzioni di sicurezza e 16 spoofing. Il numero supera nettamente i 167 difetti corretti nel Patch Tuesday di aprile, già considerato particolarmente ampio nell’analisi di Matrice Digitale dedicata al Patch Tuesday di aprile 2026 e alla protezione dei file RDP.

Microsoft collega questa crescita anche all’utilizzo di sistemi di analisi automatizzata e intelligenza artificiale per individuare vulnerabilità nel codice prima degli aggressori. Il progetto MDASH, già utilizzato per scoprire difetti in Windows, consente di analizzare porzioni molto estese della codebase e proporre potenziali condizioni di sicurezza da sottoporre alla verifica dei ricercatori. L’aumento delle CVE non indica necessariamente un improvviso peggioramento del software: può riflettere una maggiore capacità di trovare, classificare e correggere debolezze precedentemente invisibili. Matrice Digitale aveva già approfondito il funzionamento di MDASH e le prime 16 vulnerabilità Windows individuate dal sistema AI.

CVE-2026-56155 compromette la sicurezza di Active Directory Federation Services

La prima vulnerabilità sfruttata attivamente è CVE-2026-56155, classificata Important e localizzata in Active Directory Federation Services. Microsoft descrive il difetto come una granularità insufficiente nei controlli di accesso, capace di permettere a un attaccante autorizzato di elevare localmente i propri privilegi fino a ottenere capacità amministrative. La classificazione Important non deve ridurne la priorità: AD FS svolge un ruolo centrale nella federazione delle identità, nel single sign-on e nell’accesso a servizi aziendali collegati a domini Active Directory e piattaforme cloud. Un aggressore che possiede già un punto d’appoggio può utilizzare l’escalation per ampliare il controllo sul server, modificare configurazioni, accedere a materiale sensibile o favorire ulteriori movimenti laterali.

Microsoft ha attribuito la scoperta a ricercatori del Detection and Response Team, elemento che suggerisce l’identificazione della falla durante attività di incident response. L’azienda non ha pubblicato dettagli sulla catena d’attacco, sugli attori coinvolti o sui settori colpiti. Questa assenza di informazioni obbliga i difensori a ragionare per esposizione: i server AD FS devono essere aggiornati rapidamente, ma occorre anche verificare accessi amministrativi recenti, creazione o modifica di account privilegiati, cambiamenti alle relazioni di trust, certificati di firma e configurazioni delle relying party. Un sistema corretto oggi potrebbe essere già stato compromesso prima dell’installazione della patch, quindi l’aggiornamento non sostituisce l’analisi retrospettiva dei log.

Gli amministratori devono trattare con particolare attenzione eventuali server AD FS esposti direttamente a Internet o raggiungibili da reti nelle quali siano stati registrati furti di credenziali. Le moderne campagne contro Microsoft 365 puntano sempre più spesso sulla compromissione dell’identità anziché sul malware tradizionale, come mostrano gli attacchi Helix e Forg365 contro account e sessioni Microsoft. In questo scenario, un’elevation of privilege sul sistema di federazione può trasformare una compromissione limitata in un incidente a livello di dominio.

CVE-2026-56164 espone SharePoint a escalation remota dei privilegi

La seconda zero-day sfruttata è CVE-2026-56164, una vulnerabilità di elevation of privilege in Microsoft SharePoint Server. Il difetto deriva dall’assenza di autenticazione per una funzione critica e consente a un attaccante non autorizzato di ottenere privilegi elevati attraverso la rete. SharePoint è un bersaglio particolarmente sensibile perché concentra documenti, credenziali applicative, workflow e integrazioni con Active Directory, Microsoft 365 e sistemi aziendali. I server on-premises pubblicati su Internet rappresentano quindi una superficie ad alto valore, soprattutto quando utilizzano componenti personalizzati o mantengono configurazioni ereditate.

Microsoft indica come mitigazione parziale l’attivazione dell’Antimalware Scan Interface con la modalità Request Body Scan impostata su Full. La misura permette di sottoporre a scansione completa il corpo delle richieste HTTP dirette al server, aumentando la probabilità di intercettare payload malevoli. Non sostituisce però l’aggiornamento: AMSI dipende dalle capacità del motore antimalware, può non riconoscere exploit offuscati e non corregge la logica vulnerabile. Gli amministratori devono applicare la patch, verificare che AMSI sia effettivamente attivo e controllare eventuali esclusioni, errori del provider antimalware o modifiche recenti alle configurazioni.

Dopo l’installazione è necessario cercare indicatori di compromissione: processi anomali generati dai worker IIS, file ASPX inattesi, modifiche alle directory di SharePoint, web shell, nuovi account, assembly caricati senza una giustificazione e connessioni in uscita verso infrastrutture sconosciute. L’urgenza è rafforzata dalla continuità degli attacchi contro questa piattaforma. A inizio luglio Matrice Digitale aveva già segnalato una grave esposizione di SharePoint insieme alle vulnerabilità di Argo CD e Cursor, mentre a maggio Microsoft aveva corretto CVE-2026-45659 introducendo nuove capacità di isolamento automatico con Defender.

CVE-2026-50661 permette di aggirare BitLocker con accesso fisico

La terza zero-day è CVE-2026-50661, una security feature bypass in Windows BitLocker. La falla era pubblicamente nota ma non risultava sfruttata attivamente al momento del rilascio. Un attaccante con accesso fisico può aggirare la cifratura del volume di sistema e accedere ai dati protetti. Il requisito fisico limita la scalabilità dell’attacco remoto, ma non rende il problema marginale: notebook rubati, dispositivi lasciati incustoditi, postazioni condivise e sistemi sequestrati rappresentano scenari concreti nei quali BitLocker costituisce l’ultima barriera prima dell’accesso ai dati.

La patch deve essere accompagnata dalla verifica dello stato della cifratura, della protezione TPM e delle policy di avvio. Gli amministratori devono controllare che BitLocker risulti realmente attivo su tutti i volumi previsti, che le recovery key siano conservate in ambienti protetti e che non siano presenti sospensioni della protezione introdotte durante manutenzioni o aggiornamenti firmware. È opportuno verificare anche Secure Boot, ordine di avvio, possibilità di utilizzare supporti esterni e autenticazione pre-boot per i dispositivi ad alto rischio.

Il difetto si inserisce in una sequenza di vulnerabilità e tecniche che hanno dimostrato come la protezione del disco dipenda dall’intera catena di avvio. A maggio Microsoft aveva pubblicato mitigazioni per YellowKey, tecnica capace di aggirare BitLocker su Windows 11, mentre altre ricerche avevano mostrato zero-day capaci di colpire la cifratura insieme a problemi nei driver e nei componenti di supporto. La correzione di luglio deve quindi essere considerata parte di un processo più ampio di hardening e non una soluzione isolata.

Office, Exchange, Defender e Active Directory ampliano il rischio

Il Patch Tuesday interessa un numero molto elevato di prodotti Microsoft. Office riceve numerose correzioni per remote code execution e information disclosure in Word, Excel, PowerPoint e OneNote. Molte vulnerabilità richiedono l’apertura di un documento appositamente creato, ma questo requisito continua a essere facilmente soddisfatto attraverso phishing, condivisioni cloud, file compressi e documenti inseriti in conversazioni aziendali compromesse. Diverse falle sono classificate Critical e possono consentire l’esecuzione di codice nel contesto dell’utente, rendendo particolarmente rischiosi gli account dotati di privilegi amministrativi locali.

Microsoft Exchange Server riceve patch per remote code execution, spoofing ed escalation dei privilegi. Anche quando una vulnerabilità non è classificata Critical, l’esposizione di Exchange e il valore delle caselle di posta impongono un’elevata priorità. Gli attaccanti utilizzano i server di posta compromessi per sottrarre messaggi, mantenere persistenza, creare regole di inoltro e condurre business email compromise credibili. Il precedente Patch Tuesday di giugno aveva già incluso uno zero-day Exchange, approfondito nell’articolo su Microsoft Exchange e la campagna malware Miasma su GitHub.

Anche Microsoft Defender riceve correzioni Critical per remote code execution. La presenza di vulnerabilità nel motore di sicurezza merita attenzione perché il software analizza file, archivi, traffico e contenuti provenienti da fonti non attendibili, operando spesso con privilegi elevati. Completano il quadro falle in Active Directory Domain Services, Active Directory Certificate Services, Hyper-V, NTFS, componenti grafici, driver di rete, SQL Server, .NET, Azure e Copilot. La presenza di vulnerabilità RCE in servizi centrali aumenta il rischio di concatenazione: un documento Office può fornire l’accesso iniziale, una elevation of privilege può portare al controllo locale e una falla nei servizi di dominio può estendere l’incidente all’intera infrastruttura.

Windows 11 riceve KB5101650, KB5099414 e un aggiornamento per 26H1

Per Windows 11 25H2 e 24H2, Microsoft distribuisce KB5101650, che porta rispettivamente il sistema alle build 26200.8875 e 26100.8875. Windows 11 23H2 riceve KB5099414 e raggiunge la build 22631.7376. È disponibile anche KB5101649 per Windows 11 26H1, con build 28000.2525. Gli aggiornamenti sono cumulativi e obbligatori tramite Windows Update, salvo l’utilizzo di strumenti centralizzati come WSUS, Intune o soluzioni di patch management di terze parti.

Oltre alle correzioni di sicurezza, KB5101650 e KB5099414 incorporano le modifiche dell’anteprima facoltativa precedente. Tra queste figurano un comportamento meno invasivo dei Widget, miglioramenti per Magnifier, Voice Access, Voice Typing, File Explorer e dispositivi Bluetooth. L’overlay di tinta dello schermo può ridurre l’affaticamento visivo, mentre Magnifier permette di inserire direttamente la percentuale di zoom. File Explorer migliora la gestione delle immagini disco e di alcune stringhe nell’address bar, mentre gli interventi Bluetooth riguardano sincronizzazione del microfono, riconnessione dopo l’ibernazione e accessori LE Audio.

Queste funzioni non devono però distrarre dalla finalità primaria del rilascio. Nelle reti aziendali è opportuno distribuire gli aggiornamenti inizialmente su un gruppo pilota, verificare applicazioni critiche, VPN, driver, strumenti EDR e software che interagiscono con il kernel, quindi estendere rapidamente il rollout. La presenza di due zero-day attive riduce il tempo disponibile per test prolungati: i server SharePoint e AD FS devono seguire una corsia prioritaria rispetto alle normali workstation.

Windows 10 continua a ricevere sicurezza attraverso KB5099539

Microsoft distribuisce KB5099539 ai dispositivi Windows 10 iscritti al programma Extended Security Updates e alle edizioni LTSC ancora supportate. Il pacchetto porta Windows 10 22H2 alla build 19045.7548 e LTSC 2021 alla build 19044.7548. L’aggiornamento corregge le vulnerabilità del ciclo di luglio e risolve problemi introdotti nei mesi precedenti, compresa un’incompatibilità con OLE Automation e anomalie della scorciatoia OneDrive quando File Explorer viene avviato come amministratore.

Il pacchetto introduce inoltre un reporting dinamico dello stato di Secure Boot nell’app Sicurezza di Windows e amplia la platea di dispositivi idonei a ricevere automaticamente i nuovi certificati Secure Boot. Le modifiche di hardening alla registrazione TDI possono però influenzare applicazioni di terze parti che usano trasporti non registrati. Gli amministratori devono quindi controllare software legacy, agenti di rete, VPN e strumenti di sicurezza che dipendono da componenti datati.

Windows 10 ha terminato il supporto ordinario nell’ottobre 2025, ma il programma ESU consente di ricevere correzioni Critical e Important per un periodo aggiuntivo. La continuità degli aggiornamenti non deve diventare un alibi per rinviare indefinitamente la migrazione: ESU riduce il rischio delle vulnerabilità note, ma non restituisce al sistema l’intero ciclo di innovazione e manutenzione di Windows 11. Microsoft ha esteso l’accesso agli aggiornamenti per i consumatori fino all’ottobre 2027, come ricostruito da Matrice Digitale nell’analisi sulla proroga di Windows 10 ESU e sui nuovi exploit segnalati da CISA.

La priorità operativa va oltre l’installazione delle patch

Le organizzazioni devono classificare gli asset in base a esposizione, ruolo e presenza delle vulnerabilità attivamente sfruttate. SharePoint Server e AD FS devono essere aggiornati per primi, seguiti dai domain controller, dai server Exchange, dai sistemi Office e dalle workstation esposte a documenti provenienti dall’esterno. Prima del rollout è necessario verificare backup, snapshot, capacità di rollback e stato delle repliche. Dopo l’installazione devono essere monitorati errori di autenticazione, crash di servizi, variazioni nelle prestazioni e anomalie dei software di sicurezza.

Per SharePoint occorre mantenere AMSI in modalità Full Request Body Scan, controllare IIS, file system, web shell e account amministrativi. Per AD FS è necessario analizzare eventi di autenticazione e configurazione, certificati, trust e modifiche ai privilegi. Su BitLocker devono essere verificati cifratura reale, recovery key, TPM e Secure Boot. Office richiede una distribuzione rapida sulle postazioni che ricevono documenti da clienti e fornitori, accompagnata da Protected View, blocco delle macro provenienti da Internet e applicazione del principio del privilegio minimo.

Il dato record non deve essere interpretato soltanto come una statistica. La presenza simultanea di RCE, escalation dei privilegi, bypass di sicurezza e vulnerabilità in componenti identitari offre agli attaccanti diverse possibilità di costruire catene complete. L’adozione dell’intelligenza artificiale da parte di Microsoft può aumentare il numero delle falle individuate prima dello sfruttamento, ma trasferisce sulle imprese la necessità di gestire cicli di patch sempre più estesi. La qualità del processo dipende quindi dalla capacità di inventariare i sistemi, stabilire priorità tecniche, rilevare compromissioni pregresse e misurare l’effettiva copertura degli aggiornamenti, non dalla sola approvazione automatica dei pacchetti.

Lista vulnerabilità corrette