966 correzioni in un giorno, e due delle falle erano già sfruttate
Il numero è quasi tutta la storia. Il Patch Tuesday di settembre, uscito l'8 settembre, copre 966 falle secondo il conteggio di BleepingComputer e 964 secondo quello di Tenable, a seconda di come si contano i servizi cloud. In ogni caso è la pubblicazione più grande mai realizzata dall'azienda, con 105 voci classificate come critiche. Un numero simile dice più su come le vulnerabilità vengono scoperte oggi, con strumenti automatici che setacciano il codice su larga scala, che su un Windows improvvisamente in pezzi. Quasi nessuna di quelle 966 falle verrà mai toccata da qualcuno.
Due invece sì. CVE-2026-81963 si trova nello stack di Windows Update stesso, il meccanismo che installa gli aggiornamenti, e consente a un programma già in esecuzione sul PC di salire fino a SYSTEM, l'account che controlla tutto. Riguarda Windows 11 e Server 2025 ed è stata segnalata da Romain Deperne insieme al team di threat intelligence di Microsoft. CVE-2026-85880 è un overflow dell'heap in Advanced Local Procedure Call, la via attraverso cui i componenti di Windows si parlano tra loro, e colpisce Windows 10 e le versioni server più vecchie. L'hanno trovata Mark Kelly di Volexity insieme a David Galazin e Jeremy Hedges di Proofpoint. Entrambe hanno un punteggio di gravità di 7,8, Microsoft non ha detto chi le stesse usando e la CISA le ha inserite nel suo catalogo delle falle attivamente sfruttate l'8 settembre.
Un'altra falla merita una menzione solo perché smettiate di preoccuparvene. CVE-2026-69730 ottiene 9,8 e i ricercatori la definiscono l'erede spirituale di SigRed, il baco DNS del 2020 capace di propagarsi da solo. Vive in Windows DNS Server, un ruolo che gira sui server aziendali. Nessun PC di casa lo ha installato.
Quello che volete sulla vostra macchina: KB5124008 per Windows 11 24H2 e 25H2, KB5122880 per 23H2 e KB5122878 per i PC Windows 10 con aggiornamenti di sicurezza estesi. Il pacchetto porta anche correzioni critiche di esecuzione di codice da remoto in Word, Excel, Outlook e PowerPoint, oltre che nei componenti grafici e nei codec che aprono le vostre immagini. Un download di queste dimensioni è esattamente il punto in cui Windows Update tende a bloccarsi, e se succede la procedura guidata di riparazione di Windows Update di Tendvane azzera l'impianto sottostante perché l'installazione riparta pulita.