Microsoft ha corretto più di 1.400 falle in un giorno, e una era già sfruttata
L'aggiornamento di ottobre di Microsoft è il più corposo nella storia dell'azienda. A seconda di come si contano, ha chiuso tra 1.411 e 1.413 falle di sicurezza distinte in Windows, Office, SharePoint, SQL Server e negli strumenti di sviluppo, 70 delle quali classificate come critiche. Per avere un termine di paragone, nel solo 2026 Microsoft ha già corretto più di 4.000 vulnerabilità, più di quante ne abbia corrette in tutto il 2025.
Una di queste era già usata contro persone reali. CVE-2026-96951 è una falla della Shell di Windows, valutata 8,8 su 10, che permette a un file costruito ad arte e arrivato per posta elettronica o in chat di aggirare Mark of the Web. È l'etichetta invisibile che Windows applica a tutto ciò che viene scaricato da internet, ed è il motivo per cui di norma compare un avviso prima che un documento o un programma di installazione scaricato venga eseguito. Senza quell'etichetta l'avviso non appare mai. L'hanno segnalata ricercatori di Fujitsu e Anthropic insieme a un ricercatore indipendente, e l'agenzia statunitense CISA ha dato alle amministrazioni federali tempo fino al 16 ottobre per applicare la correzione.
Le dimensioni stesse di questa distribuzione dicono qualcosa su come funziona oggi la sicurezza del software. La lettura della Zero Day Initiative è netta: l'IA non inventa questi bug, accorcia soltanto il tempo che passa tra l'esistenza di una falla e il momento in cui qualcuno se ne accorge. Quella accelerazione vale per entrambe le parti, ed è un buon motivo per non lasciare gli aggiornamenti in sospeso per tre settimane.
C'è un secondo punto da verificare. Il 13 ottobre è stato l'ultimo aggiornamento che Windows 11 versione 24H2 Home e Pro riceverà mai. Quasi tutti sono passati automaticamente a 25H2 o 26H2, ma se il vostro PC si è bloccato lungo quel percorso ora è fermo su una versione che non riceverà più correzioni di sicurezza. La procedura di riparazione di Windows Update di Tendvane è pensata esattamente per questa situazione, quando gli aggiornamenti continuano a fallire e nulla di evidente lo spiega.