Il Patch Tuesday di agosto 2026 porta un numero molto alto: Microsoft indica 421 CVE nella release mensile. Ma un totale, da solo, non stabilisce l’ordine di lavoro. Per farlo servono contesto, inventario e una lettura chiara del rischio.
Il numero è grande, ma non è una classifica
La release Microsoft dell’11 agosto comprende correzioni distribuite tra Windows, Office, SharePoint Server, strumenti di sviluppo, Azure, Exchange Server, Defender e altri prodotti. Le categorie possono sovrapporsi, per esempio quando una stessa vulnerabilità riguarda più versioni: per questo i conteggi pubblicati dalle analisi non sempre coincidono.
Ciò che conta per un’azienda non è riconciliare ogni totale, ma individuare quali prodotti sono presenti nel proprio ambiente e quali vulnerabilità modificano il rischio concreto. Una CVE critica su un componente non installato non ha la stessa priorità di una vulnerabilità importante già sfruttata su molti endpoint aziendali.
La zero-day da mettere in cima
CVE-2026-68820 interessa Ancillary Function Driver for WinSock, il driver Windows in modalità kernel associato alle funzioni di rete. Microsoft la descrive come una condizione use-after-free: un errore nella gestione della memoria che può essere innescato da un’applicazione appositamente preparata.
Per l’attacco è necessario un accesso locale autenticato, ma non serve l’interazione di un’altra persona. Se lo sfruttamento riesce, l’attaccante può elevare i privilegi fino a SYSTEM, il livello più alto sul sistema Windows. Microsoft ha confermato lo sfruttamento attivo senza rendere pubblici dettagli sugli attacchi osservati.
Non è quindi il punteggio da solo a renderla prioritaria. Pesano la disponibilità di una correzione, l’evidenza di abuso reale e la possibilità che un accesso iniziale limitato venga trasformato in controllo completo della macchina.
Pubblico non significa già sfruttato, ma riduce il tempo
Microsoft ha segnalato come pubblicamente nota anche CVE-2026-62832, una vulnerabilità del servizio profili utente di Windows che può consentire a un utente autenticato di accedere o modificare dati di un altro account e ottenere privilegi amministrativi. Secondo la valutazione Microsoft, lo sfruttamento è più probabile.
CVE-2026-72971, relativa al driver di isolamento dei container di Windows, era anch’essa pubblica ma considerata meno probabile da sfruttare. La distinzione è utile: la divulgazione aumenta le informazioni disponibili anche per chi attacca, ma deve essere letta insieme a prerequisiti, impatto e presenza del componente nell’ambiente.
Le vulnerabilità remote richiedono una mappa dell’esposizione
Tra i problemi evidenziati dalle analisi figurano vulnerabilità di esecuzione di codice da remoto in Windows DNS Server, Windows Deployment Services TFTP, Microsoft QUIC e Microsoft HPC Pack, oltre a un’elevazione di privilegi in Exchange Server.
Questi nomi non dovrebbero diventare automaticamente una lista di emergenze. Un server DNS esposto, un servizio TFTP attivo soltanto in una rete di provisioning e un componente non utilizzato rappresentano scenari differenti. La priorità nasce dall’incontro tra vulnerabilità e architettura reale.
Una sequenza operativa per il Patch Tuesday
- Verificare rapidamente la presenza dei prodotti interessati e la loro esposizione.
- Dare precedenza alle vulnerabilità sfruttate attivamente, poi a quelle pubbliche e ai servizi raggiungibili in rete.
- Provare gli aggiornamenti sui sistemi rappresentativi, includendo applicazioni e dipendenze critiche.
- Distribuire per gruppi controllati, osservando errori, riavvii e regressioni.
- Confermare l’installazione e monitorare eventuali segnali di compromissione sui sistemi che erano esposti.
Il patching non termina quando il pacchetto viene inviato. Senza conferma, copertura e gestione delle eccezioni, un aggiornamento pianificato può restare incompleto proprio sugli asset più difficili da raggiungere.
Aggiornare è manutenzione, prioritizzare è difesa
Un Patch Tuesday di queste dimensioni rende evidente un principio semplice: la velocità è importante, ma deve essere guidata. Inventario, esposizione, criticità e osservazione trasformano centinaia di CVE in una sequenza di decisioni sostenibile. È così che una lista tecnica diventa un’attività di difesa.