Microsoft usa l'IA per trovare falle Windows prima che potessero…

Nel Patch Tuesday di maggio 2026 Microsoft ha corretto 138 vulnerabilità. Sedici sono state scoperte dal sistema AI MDASH prima che potessero essere sfruttate da

Il Patch Tuesday del 13 maggio 2026 segna un punto di svolta nella scoperta preventiva di vulnerabilità. Microsoft ha corretto 138 vulnerabilità — trenta Critical, centoquattro Important, tre Moderate e una Low — e ha reso pubblico che sedici di queste, nel networking e authentication stack di Windows, sono state identificate dal sistema di intelligenza artificiale MDASH prima che potessero essere sfruttate da attaccanti. Nessuna delle 138 risulta "publicly known" o "under active attack" al momento del rilascio, secondo la fonte citata.

Punti chiave

16 vulnerabilità nel networking e authentication stack di Windows sono state scoperte dal sistema AI MDASH, acronimo di "multi-model agentic scanning harness"
Il totale di 138 CVE patchate nel maggio 2026 — trenta Critical, centoquattro Important, tre Moderate, una Low — è riportato da The Hacker News; le release notes ufficiali Microsoft elencano 161 CVE, un conteggio più ampio che include aggiornamenti multi-prodotto
Nessuna delle vulnerabilità risulta pubblicamente nota o sotto attacco attivo al momento del rilascio, secondo la fonte citata
Microsoft prevede che la discovery assistita da AI aumenterà la scala dei rilasci Patch Tuesday nei prossimi mesi

MDASH: come funziona l'AI che scova falle nel codice Microsoft

Il sistema MDASH rappresenta l'evoluzione di un approccio già in parte annunciato. Si tratta di un "multi-model agentic scanning harness" che integra modelli linguistici di grandi dimensioni con tecniche di scanning automatico del codice, con particolare attenzione ai componenti di rete e autenticazione di Windows. L'architettura "agentic" implica che i modelli non si limitano a classificare pattern noti, ma possono orchestrare sequenze di azione in modo autonomo.

Tom Gallagher, VP of Engineering presso il Microsoft Security Response Center, ha dichiarato che "a greater share of the issues addressed were discovered by Microsoft, compared to prior months" e che "many of these were surfaced through AI investments and investigations across our engineering and research teams, including the use of Microsoft's new multi-model AI-driven scanning harness". La citazione, riportata da The Hacker News, non specifica la quota esatta di vulnerabilità scoperte internamente rispetto al totale, ma conferma un trend di crescente internal discovery.

La fonte citata non dettaglia l'architettura tecnica completa di MDASH. Non specifica quali modelli siano impiegati, su quali dataset siano stati addestrati, o come avvenga la verifica umana dei risultati. Non fornisce inoltre un confronto quantitativo con i metodi di discovery tradizionali. Questi limiti rendono impossibile stabilire se le stesse sedici vulnerabilità sarebbero state identificate senza l'intervento dell'IA.

L'analisi su MDASH si basa sul report di The Hacker News che aggrega dichiarazioni Microsoft, senza conferma indipendente da parte di altre fonti.

Le vulnerabilità più gravi del mese: quattro CVE sopra il 9.8

Tra le 138 correzioni spiccano quattro CVE con punteggio CVSS superiore a 9.8, tutte documentate nei rispettivi advisory ufficiali Microsoft. CVE-2026-41096 registra un punteggio di 9.8: un heap-based buffer overflow nel Windows DNS che consente remote code execution non autenticata. CVE-2026-42826, con CVSS 10.0, riguarda un'information disclosure in Azure DevOps; l'advisory ufficiale Microsoft specifica che "this vulnerability has already been fully mitigated by Microsoft. There is no action for users of this service to take".

CVE-2026-33109 (CVSS 9.9) evidenzia un improper access control in Azure Managed Instance for Apache Cassandra con conseguente RCE. CVE-2026-42898 (CVSS 9.9) documenta una code injection in Microsoft Dynamics 365 on-premises, anch'essa con potenziale remote code execution. Per queste ultime due, i dettagli tecnici completi sono disponibili nei rispettivi advisory ufficiali.

Va segnalata una discrepanza numerica: The Hacker News riporta 138 vulnerabilità patchate nel Patch Tuesday core, mentre le release notes ufficiali Microsoft per il mese di maggio 2026 elencano 161 CVE. Questo conteggio più ampio include aggiornamenti multi-prodotto o altre categorie non comprese nel sottoinsieme di 138. Le distribuzioni di severità (trenta Critical, centoquattro Important, ecc.) si riferiscono al set di 138 riportato da The Hacker News.

"AI-assisted vulnerability discovery is expected to increase the scale of Patch Tuesday releases in the coming months" — Microsoft, riportato da The Hacker News

La pressione operativa sugli amministratori IT

L'aumento del volume di patch non si traduce automaticamente in una riduzione del rischio operativo per le organizzazioni. Satnam Narang di Tenable ha notato che Microsoft ha già corretto oltre 500 CVE nei primi cinque mesi del 2026, un ritmo che supera i cicli precedenti. Più vulnerabilità scoperte prima del rilascio significano più correzioni da distribuire, ma anche più rumore nel processo di triage.

Gallagher ha esplicitamente indirizzato questo problema: "Stay current on supported operating systems, products, and patches, and revisit the speed and consistency of your patching cadence. Triage by exposure and impact, not raw count". Il consiglio rivela una tensione strutturale: l'AI scala la discovery, ma la capacità di deployment delle organizzazioni resta vincolata da finestre di manutenzione, testing di compatibilità e prioritizzazione delle risorse.

Il problema è particolarmente acuto per le infrastrutture che non possono permettersi il "patch and pray". Senza indicazioni di exploit attivo — e nel maggio 2026 non ce ne sono per nessuna delle 138 vulnerabilità — gli amministratori devono calibrare il proprio sforzo su basi puramente preventive.

Cosa fare adesso

Secondo le indicazioni di Gallagher, le organizzazioni dovrebbero mantenere aggiornati i sistemi operativi e i prodotti supportati, e rivalutare la velocità e la regolarità della propria patching cadence. Il criterio di prioritizzazione deve basarsi su esposizione e impatto, non sul numero grezzo di CVE.

Per le quattro vulnerabilità con CVSS superiore a 9.8, la verifica della copertura patch è particolarmente rilevante data la severità documentata. Nel caso specifico di CVE-2026-42826 (Azure DevOps), Microsoft ha già completato la mitigazione senza richiedere azioni utente.

La fonte citata non documenta exploit in-the-wild pre-patch per le sedici vulnerabilità scoperte da MDASH, né fornisce indicazioni di priorità differenziate per questo sottoinsieme rispetto alle altre 122 CVE.

Domande frequenti

MDASH ha trovato le vulnerabilità prima degli hacker?

La fonte non documenta che le sedici vulnerabilità fossero oggetto di exploit in-the-wild prima della patch. MDASH le ha identificate prima che potessero essere sfruttate da attaccanti, ma non è possibile stabilire se hacker specifici le stessero già analizzando.

Perché i numeri 138 e 161?

138 è il conteggio di The Hacker News per il Patch Tuesday core. 161 è il totale delle release notes ufficiali Microsoft, che include aggiornamenti multi-prodotto o altre categorie non dettagliate nel report di The Hacker News.

Tutte le 138 vulnerabilità richiedono azione immediata?

No. Nessuna risulta "publicly known" o "under active attack". La prioritizzazione deve seguire il criterio di esposizione e impatto indicato da Gallagher, non il numero grezzo di CVE.

Le fonti citate sono indipendenti?

No. L'analisi si basa su un report di The Hacker News che aggrega dichiarazioni Microsoft ufficiali. Non è disponibile una fonte indipendente che confermi i dettagli operativi di MDASH o la cronologia delle sedici scoperte.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti