Il Patch Tuesday di Microsoft di settembre 2026 è arrivato con uno dei più grandi pacchetti di aggiornamenti di sicurezza mai distribuiti dall'azienda: circa 1.000 vulnerabilità corrette in un'unica release. Nascoste all'interno di questo enorme pacchetto ci sono due vulnerabilità zero-day che gli attaccanti stavano già sfruttando in the wild, insieme a diversi bug critici di remote code execution (RCE) che interessano componenti di rete fondamentali come DNS, Netlogon, DHCP e SSTP. Per chiunque sia responsabile di un ambiente Windows, dagli utenti domestici ai team IT aziendali, l'aggiornamento di questo mese merita più di un approccio passivo fatto di click e dimentica.

Un carico di patch da record

Il Patch Tuesday è cresciuto costantemente nel corso degli anni, ma una release che si avvicina a 1.000 correzioni in un solo mese rappresenta una pietra miliare significativa. Il volume stesso riflette quanta superficie espongono i moderni sistemi Windows, dai protocolli legacy ancora in esecuzione nelle reti aziendali ai servizi più recenti integrati nel cloud. Per gli amministratori IT, un pacchetto di patch di queste dimensioni rende il triage essenziale. Non ogni vulnerabilità ha la stessa urgenza, e le valutazioni di gravità di Microsoft, combinate con le prove di sfruttamento attivo, dovrebbero guidare quali sistemi ricevere le patch per primi.

La portata di questo aggiornamento sottolinea anche una tendenza più ampia nel mondo della sicurezza: le vulnerabilità zero-day vengono scoperte e divulgate a un ritmo rapido in tutto l'ecosistema software, non solo all'interno di Windows stesso. I ricercatori hanno recentemente pubblicato exploit proof-of-concept per falle in software di sicurezza su cui molte persone fanno affidamento quotidianamente, tra cui l'Avast zero-day soprannominato PrettyPrague e una falla di Windows Defender nota come ShieldBreak. Prese insieme, queste divulgazioni delineano un panorama di minacce in cui persino gli strumenti progettati per proteggere gli utenti possono essi stessi diventare punti di ingresso per gli attaccanti.

Due zero-day sotto attacco attivo

Delle circa 1.000 vulnerabilità affrontate questo mese, due si distinguono perché erano già state sfruttate prima che Microsoft rilasciasse le correzioni. Sfruttamento attivo significa che gli attaccanti avevano codice funzionante per approfittare di queste falle in attacchi nel mondo reale, non solo dimostrazioni proof-of-concept teoriche. Quando una vulnerabilità viene sfruttata in the wild, ogni giorno in cui un sistema rimane senza patch è un giorno di esposizione reale, non di rischio ipotetico.

Questa è la ragione principale per cui i team di sicurezza trattano le zero-day in modo diverso dal resto di un pacchetto di patch. Anche in una release di queste dimensioni, queste due falle dovrebbero trovarsi in cima a qualsiasi lista di remediation. I sistemi che non possono essere aggiornati immediatamente, come server legacy o dispositivi con rigidi requisiti di uptime, necessitano di controlli compensativi come la segmentazione della rete o l'accesso limitato fino a quando gli aggiornamenti possono essere applicati in sicurezza.

RCE di rete critiche in DNS, Netlogon, DHCP e SSTP

Oltre alle zero-day, l'aggiornamento di questo mese include vulnerabilità critiche di remote code execution in diversi servizi di rete fondamentali: DNS, Netlogon, DHCP e SSTP. Questi componenti sono al centro del modo in cui le macchine Windows comunicano, si autenticano e instradano il traffico attraverso una rete. Un exploit RCE riuscito in uno qualsiasi di essi potrebbe consentire a un attaccante di eseguire codice arbitrario senza bisogno di accesso fisico a un dispositivo, spesso semplicemente inviando traffico di rete appositamente craftato.

DNS e Netlogon in particolare sono bersagli ambiti perché toccano quasi ogni dispositivo su una rete aziendale. Una vulnerabilità in Netlogon, ad esempio, può potenzialmente essere sfruttata per escalare privilegi all'interno di un dominio, mentre una falla nel DNS potrebbe permettere a un attaccante di intercettare o reindirizzare il traffico. Le vulnerabilità di DHCP e SSTP comportano rischi simili per il modo in cui i dispositivi si uniscono alle reti e stabiliscono tunnel sicuri. Poiché questi servizi sono spesso distribuiti al bordo della rete o all'interno dell'infrastruttura core, applicare loro le patch prontamente conta più che correggere problemi relativi solo agli endpoint.

Cosa significa per te

Per gli utenti di tutti i giorni, il consiglio pratico rimane semplice: mantieni abilitati gli aggiornamenti automatici e lascia che Windows installi le patch di questo mese non appena sono disponibili. La maggior parte dei dispositivi consumer applica questi aggiornamenti in background con interruzioni minime, e ritardarli non fa altro che estendere la finestra durante la quale falle note e sfruttate rimangono una minaccia.

Per gli amministratori IT e i piccoli imprenditori che gestiscono la propria infrastruttura, il calcolo è più complesso. Data la portata di questo Patch Tuesday, dai priorità alle due zero-day attivamente sfruttate, seguite dalle RCE di rete critiche che interessano DNS, Netlogon, DHCP e SSTP. Testa le patch in un ambiente di staging dove possibile, ma non lasciare che i ritardi nei test si trasformino in settimane di esposizione su sistemi esposti a Internet o critici per il dominio. Esaminare i servizi di rete esposti e stringere le regole del firewall attorno agli endpoint DNS, DHCP e SSTP relativi alle VPN può aggiungere un ulteriore livello di protezione mentre le patch vengono distribuite in tutta l'organizzazione.

Considerazioni finali

La release di sicurezza Microsoft di questo mese è un promemoria del fatto che la gestione delle patch non è una faccenda mensile da scorrere superficialmente e ignorare. Con circa 1.000 vulnerabilità affrontate, due delle quali già sfruttate dagli attaccanti, e molteplici falle critiche nell'infrastruttura di rete, settembre 2026 è un Patch Tuesday da prendere sul serio. Abilita gli aggiornamenti automatici dove puoi, dai priorità alle zero-day e alle RCE di rete se gestisci i tuoi sistemi, e considera questa release come uno stimolo a rivedere le pratiche di patching più ampie piuttosto che come una correzione una tantum. Mantenersi aggiornati rimane uno dei modi più semplici ed efficaci per proteggere sia i dispositivi personali che le reti organizzative da minacce note.