Windows, il Patch Tuesday di settembre 2026 è il più grande di sempre: corrette quasi 1.000 falle, due già sfruttate dagli hacker

Se usi Windows, questa settimana conviene proprio non ignorare l'icona degli aggiornamenti in basso a destra. Microsoft ha appena rilasciato quello che gli esperti di sicurezza definiscono il Patch Tuesday più grande della storia: un pacchetto di correzioni che chiude quasi mille falle di sicurezza in un colpo solo, comprese due vulnerabilità già sfruttate dai criminali informatici prima ancora che uscisse la patch.

Il "Patch Tuesday" è il nome informale con cui si indica il secondo martedì di ogni mese, giorno in cui Microsoft pubblica in blocco tutti gli aggiornamenti di sicurezza per Windows e i suoi altri software. Di solito si tratta di correzioni di routine, ma quella di settembre 2026 è tutt'altro che ordinaria.

Un numero record di falle corrette

Con 974 CVE corrette, quasi il doppio del record di luglio, il Patch Tuesday di settembre 2026 è il più grande della storia. Le "CVE" sono semplicemente i codici identificativi con cui viene catalogata ogni singola falla di sicurezza scoperta nei software di tutto il mondo: più il numero è alto, più problemi sono stati trovati (e corretti) tutti insieme. Secondo l'analisi ufficiale, con questa release vengono risolte oltre 974 vulnerabilità, delle quali 113 sono di livello "critico".

Ma come spiegano gli esperti, il vero problema non è la quantità. La vera notizia non è il numero: sono le due zero-day già sfruttate su ALPC e Windows Update Stack, venti vulnerabilità wormable e un Exchange che esegue codice remoto leggendo allegati Visio.

Cosa sono le due falle zero-day già attaccate

Una vulnerabilità "zero-day" è una falla che i criminali informatici scoprono e sfruttano prima che l'azienda produttrice del software riesca a correggerla: in pratica, quando esce la patch, gli attacchi sono già in corso da un po'. Questa volta ce ne sono due, ed entrambe permettono a un aggressore di ottenere privilegi più alti di quelli che dovrebbe avere sul tuo computer, una tecnica nota come "elevazione di privilegi".

Due vulnerabilità risultano in corso di sfruttamento: CVE-2026-81963, una Windows Update Stack Elevation of Privilege Vulnerability, e CVE-2026-85880, una Windows Advanced Local Procedure Call (ALPC) Elevation of Privilege Vulnerability. In parole povere: la prima riguarda proprio il meccanismo con cui Windows scarica e installa gli aggiornamenti, la seconda un sistema interno usato dai programmi per comunicare tra loro. Se un malintenzionato riesce già a entrare nel tuo PC con permessi limitati (per esempio tramite un allegato infetto), può sfruttare queste falle per prendere il controllo completo del sistema.

Il pericolo dei bug "wormable"

Tra le falle corrette ce ne sono anche venti classificate come "wormable". Questo termine, che deriva dalla parola inglese "worm" (verme), indica le vulnerabilità più pericolose in assoluto: quelle che permettono a un malware di diffondersi da un computer all'altro in automatico, senza che nessuno clicchi su nulla o apra un file sospetto. È lo stesso meccanismo che rese famosi attacchi globali come WannaCry qualche anno fa. Per fortuna, in questo caso si tratta di falle corrette prima che qualcuno le sfruttasse su larga scala, ma il numero elevato fa capire quanto sia importante non rimandare l'installazione degli aggiornamenti.

Anche la posta elettronica aziendale nel mirino

Chi usa Microsoft Exchange Server per gestire la posta elettronica in azienda deve prestare particolare attenzione: tra le falle corrette c'è anche una vulnerabilità che permette l'esecuzione di codice da remoto semplicemente aprendo un allegato in formato Visio, il programma Microsoft per creare diagrammi e schemi. Anche qui vale la stessa regola: aggiornare subito riduce drasticamente il rischio.

Un secondo aggiornamento "fuori programma"

Non è finita qui. Nei giorni successivi al Patch Tuesday, Microsoft ha dovuto rilasciare anche un aggiornamento straordinario, cioè fuori dal normale calendario mensile. Si tratta di un aggiornamento cumulativo straordinario (out-of-band) KB5129194, KB5129195 e KB5129242, che include le protezioni documentate in CVE-2026-62721, relativa a una vulnerabilità di elevazione dei privilegi del servizio di alimentazione in modalità utente di Windows (UMPS). Lo stesso aggiornamento ha risolto anche un problema collaterale: un bug che interessava i Servizi Desktop remoto (RDS) dopo l'installazione della patch di settembre, che negli ambienti colpiti poteva rendere RDS instabile, causando errori di connessione e accesso RDP o il blocco dei server. Insomma, prima la toppa aveva creato un piccolo strappo altrove, e Microsoft ha dovuto rattopparlo a sua volta.

Cosa fare, in parole semplici

Non serve essere esperti di informatica per mettersi al sicuro: basta lasciare che Windows faccia il suo lavoro. Se hai l'aggiornamento automatico attivo (l'impostazione predefinita su quasi tutti i PC Windows 11), la patch è probabilmente già arrivata da sola nei giorni scorsi. Vale comunque la pena controllare manualmente dalle Impostazioni, alla voce dedicata agli aggiornamenti, e riavviare il computer se richiesto: finché non riavvii, molte correzioni restano "in attesa" e il tuo PC resta esposto.

Chi usa Windows in ufficio o gestisce più computer in azienda, invece, farebbe bene a non rimandare oltre: con due falle già sfruttate attivamente e decine di bug capaci di diffondersi da soli, ogni giorno di ritardo nell'aggiornamento è un giorno di rischio in più. La buona notizia è che, una volta installate le patch, il problema è chiuso: basta davvero premere un paio di pulsanti per mettersi al riparo da uno degli attacchi informatici più diffusi del momento.