Il Patch Tuesday di ottobre 2026, pubblicato da Microsoft martedì 13 ottobre, è il più grande di sempre: 1.411 vulnerabilità corrette, a cui si aggiungono altre 348 falle già sistemate nei giorni precedenti su servizi come Azure ed Exchange Server. Tra queste ci sono 3 zero-day, cioè difetti già sfruttati o già resi pubblici prima della correzione. Per chi gestisce PC e server in azienda, e anche per chi usa il computer a casa, è il momento di controllare che gli aggiornamenti siano davvero installati.
I numeri del Patch Tuesday di ottobre 2026
Delle 1.411 vulnerabilità, 70 sono classificate come critiche: 57 permettono l’esecuzione di codice da remoto, 11 l’elevazione dei privilegi e 2 lo spoofing. Divise per tipo, il quadro è questo:
| Tipo di vulnerabilità | Numero (circa) |
|---|---|
| Elevazione dei privilegi | 677 |
| Esecuzione di codice da remoto | 317 |
| Divulgazione di informazioni | 254 |
| Negazione del servizio (DoS) | 73 |
| Aggiramento di funzioni di sicurezza | 40 |
| Spoofing | 28 |
L’elevazione dei privilegi è la categoria più numerosa: sono le falle che un attaccante usa dopo essere entrato, per passare da utente normale ad amministratore e prendere il controllo dell’intero sistema o della rete.
I 3 zero-day da conoscere
- CVE-2026-96951, Windows Shell: già sfruttata attivamente. Permette di aggirare il Mark of the Web, l’avviso che Windows mostra quando apri un file scaricato da Internet o arrivato per email. In pratica un allegato malevolo può aprirsi senza l’avviso di sicurezza.
- CVE-2026-108398, .NET Framework: resa pubblica prima della correzione. Può permettere di aggirare WDAC, il controllo delle applicazioni usato nelle aziende per bloccare i programmi non autorizzati.
- CVE-2026-92707, MessagePack-CSharp: resa pubblica prima della correzione, può causare un blocco del servizio (DoS) nelle applicazioni che usano questa libreria.
Fine supporto: Windows 11 24H2 Home e Pro
Con questo aggiornamento Windows 11 versione 24H2 nelle edizioni Home e Pro ha raggiunto la fine del supporto: quello di ottobre è l’ultimo aggiornamento di sicurezza. Lo stesso vale per Windows 10 Enterprise LTSB 2016. Le edizioni Enterprise, Education e IoT Enterprise di Windows 11 23H2 riceveranno l’ultimo aggiornamento il mese prossimo. Se uno dei tuoi PC è ancora su 24H2, va portato a una versione più recente: abbiamo raccolto le novità di Windows 11 26H2, e per i PC con Windows 10 trovi le opzioni nella guida sulla fine del supporto di Windows 10.
Cosa fare subito in azienda
- Verifica gli aggiornamenti su tutti i PC (Impostazioni → Windows Update) e sui server, compresi quelli che restano spenti o fuori sede.
- Controlla la versione di Windows (tasto Windows + R, scrivi
winver): se compare 24H2 su un’edizione Home o Pro, pianifica l’aggiornamento. - Fai attenzione agli allegati: finché tutti i PC non sono aggiornati, la falla della Windows Shell rende meno affidabili gli avvisi sui file scaricati.
- Pianifica i riavvii dei server fuori orario e fai un backup verificato prima di installare aggiornamenti importanti.
- Non dimenticare .NET Framework: arriva tramite Windows Update, ma su server e PC gestiti con WSUS o criteri aziendali va approvato.
Leggi anche: ransomware in Italia nel 2026 e la scadenza NIS2 e le vulnerabilità critiche di PHP per i siti web.
Articolo aggiornato al 22 ottobre 2026. Fonte: BleepingComputer, Microsoft October 2026 Patch Tuesday.