Patch Tuesday da record: Microsoft corregge 974 CVE, due zero-day già attivi

Microsoft ha rilasciato gli aggiornamenti di sicurezza del Patch Tuesday di settembre 2026 l'8 settembre, correggendo un numero storico di vulnerabilità. Il conteggio ufficiale del Microsoft Security Response Center (MSRC) raggiunge 974 CVE, mentre BleepingComputer ne conta 966 limitando il conteggio alle sole flaw pubblicate il giorno del Patch Tuesday. Al di là del volume, il dato che condiziona immediatamente le operazioni dei SOC è l'esistenza di due zero-day attivamente sfruttati per escalation di privilegi locali fino a SYSTEM, entrambi inclusi nel catalogo KEV della CISA.

I due zero-day: da AppContainer a SYSTEM senza interazione

La minaccia immediata è rappresentata da CVE-2026-85880 e CVE-2026-81963, entrambi segnalati da Microsoft con il flag "Exploitation Detected" e confermati dalla CISA nel KEV catalog. Non sono emersi dettagli sugli attacchi in-the-wild: Microsoft non ha divulgato tecniche di exploit, vettori di distribuzione né presunte vittime. L'attribuzione a gruppi di minaccia specifici non è al momento supportata da evidenze pubbliche.

CVE-2026-85880 è un heap-based buffer overflow nel componente Windows ALPC (Advanced Local Procedure Call). La descrizione ufficiale di Microsoft, riportata da BleepingComputer, recita: "Heap-based buffer overflow in Windows ALPC allows an authorized attacker to elevate privileges locally." SecurityWeek aggiunge che un attaccante in grado di eseguire codice in un AppContainer a basso privilegio può sfruttare la vulnerabilità per evadere la sandbox e ottenere privilegi SYSTEM senza interazione utente aggiuntiva. Il ricercatore Satnam Narang di Tenable ha osservato che questo è il secondo zero-day in ALPC in quasi quattro anni, dopo CVE-2023-21674. La scoperta è accreditata a Volexity e a Mark Kelly, David Galazin, Jeremy Hedges di Proofpoint.

CVE-2026-81963 riguarda invece l'improper link resolution — link following — nel Windows Update Stack. Microsoft descrive la vulnerabilità come segue: "Improper link resolution before file access ('link following') in Windows Update Stack allows an authorized attacker to elevate privileges locally." La CISA specifica che consente a un attaccante locale di escalare privilegi fino a SYSTEM. È il primo zero-day nel Windows Update Stack su sette flaw corretti in cinque anni, secondo Tenable. Scoperto da Romain Deperne e dal Microsoft Threat Intelligence Centre (MSTIC).

Entrambi i CVE presentano un punteggio CVSS 3.1 di 7.8 HIGH (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H). La stringa di metriche conferma che l'accesso vettoriale è locale, ma una volta ottenuto un foothold a basso privilegio l'escalation è sistematica e non richiede interazione utente.

"AI-assisted vulnerability discovery in 2026 is creating larger haystacks, but it isn't finding more needles. It's critical that organizations understand which vulnerabilities actually apply to them, whether they pose a threat by being reachable and exploitable, and prioritize remediation based on this risk context." — Satnam Narang, Tenable (via SecurityWeek)

Il paradosso del numero: più CVE, stesso rischio concentrato

Il disallineamento tra i 974 CVE totali secondo Microsoft MSRC e le 966 contate da BleepingComputer è spiegato dalla metodologia: quest'ultima esclude 204 vulnerabilità corrette prima del Patch Tuesday in prodotti Azure, Edge e altri servizi. Il dossier non chiarifica se la somma 966 + 204 produca linearmente i 974, né è necessario forzarne la ricomposizione. Ciò che conta è che entrambe le fonti concordano su un ordine di grandezza senza precedenti.

Secondo BleepingComputer, il Patch Tuesday include 105 vulnerabilità Critical: di queste, 81 sono RCE, 20 EoP, 2 information disclosure e 1 security feature bypass. SecurityWeek fornisce una ripartizione per prodotto: 723 flaw in Windows e 222 in Office.

Il volume non si traduce in esposizione uniforme. Narang, citato da SecurityWeek, distingue nettamente: "While the number of vulnerabilities being patched is rising, the number of vulnerabilities that can and will affect most organizations remains quite low." L'enfasi sulla numerosità assoluta rischia di disperdere risorse operative. I 20 CVE wormabili segnalati da ZDI — RCE senza autenticazione o interazione utente — rappresentano una superficie di attacco oggettivamente più pericolosa della maggioranza dei flaw corretti.

Cosa fare adesso

Le azioni prioritarie derivano direttamente dai fatti documentati nel dossier:

• Applicare immediatamente le patch per CVE-2026-85880 e CVE-2026-81963: entrambi sono nel KEV catalog della CISA, che impone tempistiche vincolanti per gli enti federali statunitensi e raccomanda urgenza per il settore privato.
• Verificare la presenza di Servicing Stack Updates (SSU) critiche per Windows Server 2012, 2012 R2, Windows 10 1607 e Server 2016: Microsoft le ha rilasciate come prerequisito per l'installazione corretta delle patch di sicurezza successive.
• Rivedere la prioritizzazione nel triage dei CVE: con 974 voci, la catalogazione per severità CVSS sola è insufficiente; la reachability e la exploitability in-the-wild devono pesare più del punteggio astratto.
• Monitorare i sistemi Windows per attività anomala in ALPC e Windows Update Stack fino al completamento del patching, data la conferma di exploitation attiva senza disponibilità di indicatori di compromesso pubblici.

Perché questo mese segnala una svolta nel patching

Il settembre 2026 non è record per caso. L'accelerazione nella scoperta di vulnerabilità, assistita da strumenti automatizzati, sta modificando l'aritmetica della risposta: il tempo di triage umano resta fisso mentre il denominatore cresce. La conseguenza operativa è che i team di sicurezza devono abbandonare l'approccio sequenziale — patchare per CVE-ID crescente — per adottare criteri di rischio basati su evidenze di exploitation e profilo di esposizione.

I due zero-day locali sono funzionalmente meno spettacolari di una RCE remota non autenticata, ma più insidiosi: richiedono un foothold iniziale, ma garantiscono controllo totale del sistema senza attrito. In un contesto dove ransomware e infostealer operano già a basso privilegio, l'escalation a SYSTEM è il passaggio che trasforma un'infezione contenibile in un compromesso totale. Le 20 wormabili, intanto, mantengono aperta la porta a scenari di propagazione automatica che non necessitano di quell'foothold.

La lezione del mese non è quanto sia grande il haystack, ma come trovare gli aghi prima che altri lo facciano.

Fonti

• https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2026-patch-tuesday-fixes-966-flaws-2-zero-days/
• https://www.securityweek.com/microsoft-patches-record-974-vulnerabilities-including-two-exploited-zero-days/
• https://thehackernews.com/2026/09/google-releases-chrome-update-to-patch.html
• https://thehackernews.com/2026/09/adobe-patches-magento-zero-day.html
• https://msrc.microsoft.com/update-guide/releaseNote/2026-Sep
• https://msrc.microsoft.com/update-guide/
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-85046
• https://helpx.adobe.com/security/products/magento/apsb26-146.html