Microsoft, quasi mille falle corrette in un solo Patch Tuesday

Il numero varia leggermente secondo i criteri di conteggio, ma il record è netto. Due vulnerabilità risultavano già sfruttate e l’AI accelera anche la corsa tra attacco e difesa.

Il Patch Tuesday di settembre segna un nuovo massimo per la sicurezza Microsoft: le analisi tecniche pubblicate dopo il rilascio contano circa 970 vulnerabilità corrette, con differenze di pochi casi a seconda dei criteri utilizzati per includere CVE già corretti, componenti esterni o vulnerabilità collegate a Chromium. Ars Technica indica circa 972 falle, mentre altre ricostruzioni arrivano a 974. Il dato sostanziale non cambia: si tratta di un volume eccezionale, con oltre cento vulnerabilità classificate nella fascia di gravità più elevata.

Microsoft ha confermato che almeno due falle risultavano già sfruttate prima della pubblicazione degli aggiornamenti. Si tratta di CVE‑2026‑85880, relativa a Windows Advanced Local Procedure Call, e CVE‑2026‑81963, che interessa lo stack di Windows Update; entrambe riguardano escalation di privilegi. La società ha invitato i clienti ad applicare rapidamente gli aggiornamenti e ha pubblicato i pacchetti per le versioni supportate di Windows e Windows Server.

L’elemento più interessante è la velocità con cui sta crescendo il numero di vulnerabilità individuate. Il fenomeno è collegato anche alla diffusione di strumenti di ricerca automatizzata e AI-assisted vulnerability discovery, che consentono ai ricercatori di esplorare superfici di codice molto più ampie. Lo stesso progresso, però, è disponibile anche agli attaccanti: il tempo che separa la scoperta di una falla dalla sua possibile industrializzazione in campagne offensive tende quindi a ridursi.

Per le imprese la conseguenza è organizzativa prima ancora che tecnica. Un ciclo mensile con centinaia di correzioni rende impraticabile la gestione manuale tradizionale. Diventano essenziali inventario degli asset, classificazione dell’esposizione, test automatizzati, priorità basate sulla probabilità di sfruttamento e procedure di distribuzione rapida. La presenza di vulnerabilità già attivamente utilizzate impone inoltre di distinguere tra aggiornamenti ordinari e patch da trattare come risposta a un incidente potenziale.

L’aumento dei numeri non significa automaticamente che il software sia diventato meno sicuro: può indicare anche una capacità di scoperta molto maggiore. Ma cambia il modello di difesa. La sicurezza non può più essere considerata una manutenzione periodica da concentrare una volta al mese; diventa una funzione continua, alimentata da telemetria, automazione e capacità di aggiornare sistemi complessi senza interrompere i servizi. Nel nuovo equilibrio tra AI offensiva e AI difensiva, la velocità di remediation diventa una vera variabile competitiva.