Microsoft corregge 966 vulnerabilità mentre due zero-day di Windows sono oggetto di attacchi attivi

Microsoft ha rilasciato l’8 settembre 2026 gli aggiornamenti di sicurezza per 966 vulnerabilità, tra cui due zero-day di Windows per l’escalation dei privilegi già sfruttati in attacchi.

Entrambi gli zero-day consentono agli aggressori di ottenere privilegi SYSTEM dopo aver acquisito un punto d’appoggio iniziale con autorizzazioni limitate. Uno riguarda lo stack di Windows Update, mentre l’altro permette di evadere da un AppContainer con privilegi ridotti attraverso Windows Advanced Local Procedure Call.

Microsoft classifica entrambe le vulnerabilità come Importanti, anziché Critiche. A ciascuna è assegnato un punteggio di base CVSS 3.1 pari a 7,8; entrambe richiedono accesso locale e privilegi bassi, ma non l’interazione dell’utente.

Un Patch Tuesday da record, con totali di categoria incoerenti

Il Patch Tuesday di settembre 2026 viene descritto come il più grande aggiornamento di sicurezza mai rilasciato da Microsoft. Le sue 966 vulnerabilità comprendono, secondo quanto riferito, 105 problemi Critici, anche se il dettaglio pubblicato per questa categoria ne conta soltanto 104:

• 81 vulnerabilità di esecuzione di codice da remoto
• 20 vulnerabilità di escalation dei privilegi
• Due vulnerabilità di divulgazione di informazioni
• Una vulnerabilità di aggiramento delle funzionalità di sicurezza

Anche i dati complessivi per categoria non coincidono pienamente con il totale annunciato. La distribuzione riportata comprende circa 438 vulnerabilità di escalation dei privilegi, 258 problemi di esecuzione di codice da remoto, 173 vulnerabilità di divulgazione di informazioni, 56 vulnerabilità di negazione del servizio, 19 vulnerabilità di aggiramento delle funzionalità di sicurezza e 16 vulnerabilità di spoofing. La somma è 960.

Le discrepanze indicano che i dati per categoria devono essere considerati approssimativi e non come un conteggio completo e deduplicato di tutte le 966 vulnerabilità.

Il totale comprende le vulnerabilità pubblicate nel Patch Tuesday. Sono escluse altre 204 vulnerabilità corrette all’inizio del mese in servizi e prodotti tra cui Azure AI Language, Azure Cosmos DB, Copilot Studio, Entra ID, Mariner, Microsoft Azure Active Directory B2C, Microsoft Discovery Studio, Microsoft Edge basato su Chromium, Microsoft Fabric e Power Automate.

Per fare un confronto, Microsoft aveva corretto 570 vulnerabilità di sicurezza a luglio e 400 ad agosto. Il forte aumento è stato attribuito all’adozione, da parte dell’azienda, di un sistema basato sull’intelligenza artificiale per individuare ulteriori difetti nel proprio portafoglio software.

CVE-2026-81963 sfrutta la gestione dei collegamenti in Windows Update

CVE-2026-81963 è una vulnerabilità di escalation dei privilegi nello stack di Windows Update. Microsoft ha pubblicato il relativo avviso l’8 settembre 2026, classificando il problema come Importante e confermando di aver rilevato attività di sfruttamento.

La vulnerabilità riguarda la risoluzione impropria dei collegamenti prima dell’accesso ai file, associata a controlli di accesso insufficienti. Questo tipo di debolezza può verificarsi quando un componente con privilegi segue un collegamento del filesystem senza verificare adeguatamente la destinazione o la sicurezza dell’accesso.

Secondo la valutazione di Microsoft, un aggressore locale autorizzato con privilegi ridotti può sfruttare il difetto senza interazione dell’utente. La complessità dell’attacco è bassa e lo sfruttamento riuscito può fornire l’accesso SYSTEM.

Il vettore CVSS è:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Il risultato è un punteggio di base pari a 7,8. Microsoft assegna inoltre un punteggio temporale di 7,2, definisce funzionale la maturità del codice di exploit e segnala un impatto potenziale elevato su riservatezza, integrità e disponibilità.

La vulnerabilità non era stata divulgata pubblicamente prima della pubblicazione dell’avviso. La scoperta è stata attribuita a Romain Deperne e al Microsoft Threat Intelligence Centre. Microsoft non ha descritto gli attacchi osservati, i relativi obiettivi, il metodo di accesso iniziale né il modo in cui l’exploit è stato integrato in una catena d’intrusione più ampia.

È disponibile una correzione ufficiale. Non sono stati divulgati workaround o misure di mitigazione temporanee.

CVE-2026-85880 consente di evadere da AppContainer attraverso ALPC

Il secondo zero-day sfruttato, CVE-2026-85880, riguarda Windows Advanced Local Procedure Call. ALPC è un meccanismo del sistema operativo utilizzato per la comunicazione tra processi; di conseguenza, le vulnerabilità in quest’area possono rivelarsi preziose per gli aggressori che tentano di oltrepassare i confini di sicurezza.

Microsoft attribuisce la vulnerabilità a un overflow del buffer basato sull’heap e all’utilizzo di una risorsa non inizializzata. Un aggressore che riesca già a eseguire codice all’interno di un AppContainer con privilegi ridotti può sfruttarla localmente, evadere dalla sandbox ed eseguire un’escalation fino a SYSTEM.

Non è richiesta un’ulteriore interazione dell’utente. Come nel caso di CVE-2026-81963, l’attacco presenta una bassa complessità, richiede privilegi ridotti e può avere conseguenze elevate su riservatezza, integrità e disponibilità.

Il vettore CVSS è identico:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Il punteggio di base è 7,8, mentre il punteggio temporale assegnato da Microsoft è 6,8. L’avviso indica che lo sfruttamento è stato rilevato, ma descrive come non dimostrata la maturità del codice di exploit. Microsoft non ha divulgato i dettagli tecnici degli attacchi né identificato le organizzazioni interessate.

Volexity e Proofpoint hanno ricevuto un riconoscimento per la scoperta. I ricercatori Mark Kelly, David Galazin e Jeremy Hedges sono stati inoltre associati alla scoperta nei resoconti relativi alla pubblicazione.

È disponibile una patch ufficiale, ma Microsoft non ha fornito workaround, indicatori di compromissione, firme di rilevamento o informazioni dettagliate sulla catena d’attacco.

L’esposizione interessa Windows, sistemi di identità e piattaforme di sviluppo

Le due vulnerabilità sfruttate attivamente sono problemi locali di escalation dei privilegi, non vulnerabilità di accesso iniziale. L’aggressore deve quindi avere già la possibilità di eseguire codice sul sistema bersaglio. Può tuttavia trasformare una compromissione limitata nel controllo completo del sistema operativo.

CVE-2026-85880 è particolarmente rilevante nei contesti in cui applicazioni non attendibili o potenzialmente ostili vengono eseguite all’interno dell’isolamento AppContainer. CVE-2026-81963 richiede attenzione sugli endpoint Windows in cui utenti con privilegi ridotti o processi compromessi potrebbero interagire con operazioni di aggiornamento con privilegi elevati.

Le edizioni di Windows, le build e le configurazioni di manutenzione interessate non sono state specificate nelle informazioni disponibili. Gli amministratori dovrebbero quindi utilizzare il catalogo degli aggiornamenti specifico per prodotto di Microsoft e le proprie piattaforme di gestione degli endpoint per determinare l’applicabilità delle patch, anziché affidarsi a un elenco ristretto di versioni.

La pubblicazione più ampia interessa numerosi componenti aziendali. L’inventario comprende vulnerabilità in:

• .NET e Visual Studio
• Active Directory Certificate Services, Domain Services e Federation Services
• ASP.NET Core
• Azure Arc SQL Server Extension, Azure CycleCloud e Azure HDInsight Ambari
• GitHub Copilot e Visual Studio Code
• Driver di Windows, gestione dei caratteri, IP Helper e componenti di kernel streaming
• Pacchetti Mariner e sottosistemi del kernel

Tra le voci Critiche più rilevanti figurano vulnerabilità di esecuzione di codice da remoto in Windows Graphic Fonts e IP Helper. Anche Active Directory Domain Services ha ricevuto correzioni per vulnerabilità di esecuzione di codice da remoto, negazione del servizio ed escalation dei privilegi.

Diversi problemi delle piattaforme di sviluppo hanno punteggi elevati pur non essendo classificati come Critici. CVE-2026-69439, che interessa .NET e Visual Studio, ha un punteggio CVSS di 8,8 e un vettore basato sulla rete che richiede l’interazione dell’utente. CVE-2026-69805 in .NET ha un punteggio di 7,5, mentre CVE-2026-69806 ha un punteggio di 7,0.

Lo stato KEV dei due nuovi zero-day resta non confermato

Non ci sono informazioni confermate che CVE-2026-81963 o CVE-2026-85880 siano state aggiunte al catalogo Known Exploited Vulnerabilities della Cybersecurity and Infrastructure Security Agency statunitense. Di conseguenza, per nessuna delle due vulnerabilità sono note una data di inserimento nel catalogo KEV o una scadenza federale per la correzione.

Tuttavia, negli ultimi 90 giorni diverse altre vulnerabilità di Microsoft sono state aggiunte al catalogo:

• CVE-2019-1068 il 26 agosto 2026
• CVE-2026-55040 e CVE-2026-33824 il 18 agosto 2026
• CVE-2026-68820 l’11 agosto 2026
• CVE-2026-50522 il 22 luglio 2026
• CVE-2026-58644 il 16 luglio 2026

L’assenza di una conferma dell’inserimento nel catalogo KEV non riduce il rischio immediato associato agli zero-day di settembre. Microsoft ha indicato autonomamente che entrambi sono stati sfruttati in attacchi reali.

Applicare prima le patch ai sistemi esposti a codice non attendibile

Le organizzazioni dovrebbero installare come prima misura difensiva gli aggiornamenti di Windows di settembre 2026 applicabili ai propri sistemi. Per nessuna delle due vulnerabilità sfruttate sono stati pubblicati workaround.

La priorità dovrebbe andare agli endpoint e ai server in cui possono essere eseguiti codice non attendibile, applicazioni in sandbox o utenti con privilegi ridotti. I team di sicurezza dovrebbero inoltre verificare che le installazioni siano state completate correttamente e che i sistemi siano stati riavviati quando necessario.

Poiché non sono disponibili indicatori di compromissione specifici, i difensori non possono fare affidamento su un semplice hash, nome di file o identificativo di evento. Le analisi dovrebbero combinare invece la telemetria degli endpoint con evidenze comportamentali di transizioni di privilegi inattese, evasioni da AppContainer, attività sospette correlate ad ALPC e operazioni anomale che coinvolgono i componenti di Windows Update.

La risposta operativa è semplice:

1. Applicare immediatamente le correzioni ufficiali per CVE-2026-81963 e CVE-2026-85880.
2. Verificare l’applicabilità degli aggiornamenti tramite il catalogo di Microsoft, poiché qui non sono indicate le versioni esatte interessate.
3. Convalidare lo stato dell’installazione e dei riavvii su tutti gli asset Windows gestiti.
4. Esaminare la telemetria degli endpoint alla ricerca di processi con privilegi ridotti che generano o controllano in modo inatteso attività a livello SYSTEM.
5. Installare gli aggiornamenti separati rilasciati all’inizio del mese per i prodotti cloud, di identità, browser e automazione di Microsoft.

L’ampiezza di questa pubblicazione renderà difficili i test e la distribuzione negli ambienti più grandi. Le due vulnerabilità di Windows sfruttate attivamente non dovrebbero aspettare in coda alle altre 966 patch.