Patch Tuesday ottobre 2026: 1.413 CVE e il test dei "risk cohort"

Microsoft ha pubblicato il 13 ottobre 2026 il rilascio di sicurezza più voluminoso della sua storia: circa 1.413 CVE secondo l'MSRC, il Centro sicurezza ufficiale del vendor. Il mese segnala tre zero-day, uno dei quali attivamente sfruttato in Windows Shell, e introduce per la prima volta i "risk cohort" — raggruppamenti provvisori di vulnerabilità per domanda di valutazione condivisa — proprio mentre i team di sicurezza devono gestire un carico di lavoro senza precedenti.

Il conteggio ufficiale e le divergenze metodologiche

Il dato autoritativo è quello dell'MSRC, che elenca "1.413 Microsoft CVEs" per il rilascio del 13 ottobre. La cifra supera di quasi un terzo il precedente record, ma le testate non concordano sul totale esatto. BleepingComputer riporta 1.411 CVE escludendo le correzioni anticipate pubblicate il 2 ottobre, mentre SANS ISC indica 1.417 — possibile inclusione di elementi non Microsoft — e NTCompatible usa l'approssimazione "roughly 1,413". CybersecurityNews cita invece 1.118 CVE, una sottostima significativa che non trova riscontro nelle fonti primarie e che il dossier non è in grado di spiegare.

Queste divergenze non sono incidentali: riflettono scelte editoriali su cosa contare. Le 348 vulnerabilità corrette in anticipo — tra cui CVE-2026-96207 (Partner Center, CVSS 10.0) e CVE-2026-94510 (Microsoft Bookings, CVSS 9.9) — fanno parte di un flusso separato di rilasci cloud. Confonderle con il Patch Tuesday principale significherebbe sovrapporre due timeline diverse.

Il nucleo offensivo: da CVE-2026-96951 al bypass WDAC

Il vettore più pericoloso è CVE-2026-96951, classificata CVSS 8.8 HIGH con vettore di attacco di rete, complessità bassa, privilegi non richiesti e interazione utente. Microsoft MSRC conferma "Exploitation Detected": la falla consente a un attaccante non autorizzato di aggirare il Mark of the Web — il meccanismo che avvisa gli utenti prima dell'esecuzione di file scaricati da internet — tramite injection di comandi nella shell Windows.

L'impatto è concreto: file malevoli eseguiti senza il dialogo di sicurezza standard. Microsoft non ha reso pubblici dettagli completi del meccanismo di sfruttamento, il che lascia ai difensori la necessità di patchare in assenza di IOC granulari.

La seconda zero-day, CVE-2026-108398, porta la firma di James Forshaw di Google Project Zero. La vulnerabilità nel .NET Framework consente a un attaccante autenticato di posizionare un assembly appositamente costruito e registrarlo per il caricamento da un processo protetto, aggirando le restrizioni di Windows Defender Application Control. Il MSRC la marca "Publicly disclosed" ma senza rilevazione di sfruttamento attivo. La terza, CVE-2026-92707 in MessagePack-CSharp, è una denial of service anch'essa pubblicamente divulgata; il dossier non specifica impatti oltre l'indisponibilità del servizio.

"Improper neutralization of special elements used in a command ('command injection') in Windows Shell allows an unauthorized attacker to bypass a security feature over a network" — Microsoft MSRC su CVE-2026-96951

I "risk cohort": efficienza tattica o perdita di granularità

La novità strutturale del mese è l'introduzione dei "risk cohort": 15 gruppi provvisori che aggregano CVE per domanda di valutazione comune. CybersecurityNews pubblica la tabella completa: il cohort più popoloso, "Windows filesystems, storage and backup", raccoglie 136 vulnerabilità. NTCompatible li descrive come "filtering tool" — strumento di filtraggio, non sostitutivo della guidance ufficiale.

La tensione è chiara. Per i team che devono smistare 1.400+ CVE, i cohort offrono un criterio di prioritizzazione iniziale. Ma vulnerabilità con la stessa domanda di deployment possono nascondere profili di rischio radicalmente diversi: una RCE in un servizio esposto a internet e un escalation locale in un componente interno rientrano nello stesso gruppo se condividono il perimetro di patch, ma non nella stessa urgenza operativa. NTCompatible lo formula esplicitamente: "The cohorts are exploratory, not official. They don't replace your usual update guidance".

L'esperimento di ottobre 2026 è quindi un test di scalabilità organizzativa più che tecnica. Microsoft sta misurando se l'automazione della categorizzazione può ridurre il burnout degli analisti senza degradare la precisione della risposta. I dati per giudicare non sono ancora disponibili.

End of support e hotpatching: due timeline che si incrociano

Il 13 ottobre 2026 segna anche la fine del supporto per Windows 11 versione 24H2 nelle edizioni Home e Pro, oltre a Windows 10 Enterprise LTSB 2016. Microsoft conferma tramite BleepingComputer: "Today, October 13, 2026, Windows 11, version 24H2 Home and Pro, and Windows 10 Enterprise LTSB 2016 have reached end of updates. The October 2026 monthly security update is the last update available for these editions".

Contemporaneamente, l'hotpatching diventa generalmente disponibile per le VM Azure Edition di Windows Server 2025 — una capacità che permette applicazione di patch senza riavvio, teoricamente adatta al volume osservato. La convergenza non è casuale: Microsoft sta preparando l'infrastruttura a un regime di correzioni continuo che il Patch Tuesday mensile da solo rischia di non reggere.

Cosa fare adesso

Per i team di sicurezza enterprise, quattro priorità emergono dai dati verificati:

• Patchare immediatamente CVE-2026-96951 sui sistemi Windows con shell esposta a fonti di file non attendibili, dato lo stato di "Exploitation Detected" confermato dall'MSRC.
• Valutare CVE-2026-108398 nei ambienti con WDAC attivo, particolarmente dove processi protetti caricano assembly .NET da percorsi scrivibili da utenti autenticati.
• Verificare lo stato di aggiornamento dei sistemi Windows 11 24H2 Home/Pro e Windows 10 Enterprise LTSB 2016: l'ultima patch di sicurezza disponibile è quella di ottobre 2026.
• Esplorare i "risk cohort" come strumento di primo filtraggio, mantenendo la valutazione individuale per le vulnerabilità con CVSS elevato o esposizione di rete diretta.

La domanda che il record pone

Il salto a 1.413 CVE non è un outlier statistico da normalizzare: è una soglia strutturale. Se Microsoft conferma che i cohort sono "exploratory", ammette implicitamente che il modello attuale di comunicazione delle vulnerabilità — CVE individuale, advisory separato, valutazione manuale — non scala linearmente con la scoperta. Il problema non è tecnico: è cognitivo. I team di sicurezza hanno limiti finiti di attenzione, e l'azienda sta cercando di automatizzare la prioritizzazione senza assumersi la responsabilità di sostituirla.

La vera misura di questo Patch Tuesday non sarà il numero di sistemi patchati entro sette giorni, ma quanti team saranno in grado di distinguere — dentro un cohort di 136 vulnerabilità — quella che conta davvero.

Fonti

• https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2026-patch-tuesday-fixes-1-411-flaws-3-zero-days/
• https://isc.sans.edu/diary/rss/33422
• https://cybersecuritynews.com/microsoft-october-patch-tuesday-2026/
• https://www.ntcompatible.com/story/microsoft-october-2026-patch-tuesday-largest-release-ever-ships-live-windows-shell-zeroday
• https://trinetriops.com/resources/patch-tuesday/october-2026
• https://msrc.microsoft.com/update-guide/releaseNote/2026-Oct
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96940
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96207
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-94510
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-77900

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti