La patch di ottobre corregge una falla di Windows Shell già sfruttata per aggirare gli avvisi di sicurezza. Rapid7 segnala anche cinque vulnerabilità di Outlook e informazioni incomplete sulle patch di Edge.
Un file o una pagina web preparati ad arte possono bastare per avviare la catena d'attacco. Microsoft ha corretto la falla nell'aggiornamento di ottobre, pubblicato il 13 ottobre: la vulnerabilità zero-day di Windows Shell è identificata come CVE-2026-96951. Microsoft ha confermato che era stata sfruttata in attacchi reali. È una delle tre zero-day corrette nel rilascio; una è stata indicata come attivamente sfruttata.
Secondo Rapid7, il pacchetto comprende 1.413 vulnerabilità, di cui 1.102 in Windows. Il rilascio è più ampio di quello di settembre. BleepingComputer ha contato 1.411 difetti, mentre Cisco Talos ne ha conteggiati 1.415. Oltre a Windows e Office, gli aggiornamenti interessano SharePoint Server. Le patch riguardano anche SQL Server ed Exchange Server. Sono coinvolti inoltre Azure e Defender, oltre a Edge e agli strumenti per sviluppatori. Il Center for Internet Security raccomanda di installare gli aggiornamenti dopo i necessari test di compatibilità.
Per sfruttare la falla, l'attaccante deve indurre la vittima ad aprire un file malevolo oppure a visitare una pagina web preparata per l'attacco. Non è uno scenario senza interazione dell'utente: la catena richiede che la vittima apra o visiti il contenuto.
La vulnerabilità aggira il Mark of the Web, o MOTW, il contrassegno che Windows usa per segnalare file provenienti da fonti potenzialmente non sicure. Se l'avviso abituale non compare, l'utente potrebbe non ricevere una richiesta di conferma prima di aprire contenuti malevoli. CVE-2026-96951 è classificata come bypass di una funzione di sicurezza di Windows Shell e ha un punteggio base CVSS di 8,8. Microsoft attribuisce il problema alla neutralizzazione impropria di elementi speciali in un comando, una forma di command injection. La falla riguarda Windows 10 e Windows 11. Sono interessate anche alcune versioni di Windows Server. Adam Barnett, Lead Software Engineer di Rapid7, ha osservato che questo è il secondo zero-day di Windows Shell sfruttato attivamente quest'anno. La vulnerabilità interessava anche Outlook.com, che ha ricevuto la correzione in una build precedente.
Il Center for Internet Security ha riferito che Microsoft ha confermato lo sfruttamento della falla e ha raccomandato di installare gli aggiornamenti dopo le verifiche necessarie. Nei casi più gravi, una vulnerabilità può permettere all'attaccante di agire con i privilegi dell'utente corrente. Con privilegi elevati, può installare programmi o accedere ai dati. Può anche modificarli o cancellarli, oppure creare account con pieni diritti. Prima di installare le patch, le organizzazioni possono limitare l'apertura di file non attendibili e rafforzare i controlli su contenuti web e allegati email.
Le vulnerabilità di Outlook richiedono attenzione anche quando il destinatario non apre deliberatamente un allegato.
Rapid7 segnala cinque falle di esecuzione di codice remoto in Outlook: CVE-2026-70242 e CVE-2026-97749; CVE-2026-97016 e CVE-2026-88156; CVE-2026-70291. In alcuni casi può bastare scorrere un messaggio nel riquadro di lettura. Outlook può inoltre generare un'anteprima senza un'azione esplicita dell'utente, esponendo il sistema durante la normale consultazione della posta.
Il volume delle falle emerge anche fuori dagli aggiornamenti mensili. Nel primo giorno di Pwn2Own Ireland 2026 sono state individuate 32 vulnerabilità zero-day, secondo questo resoconto della gara. Nella stessa giornata sono stati assegnati premi per oltre 368.000 dollari. Tra i risultati, un attacco remoto a un Samsung Galaxy S26 tramite una singola email. Barnett avverte che un flusso così fitto di disclosure può rendere meno visibili vulnerabilità che, con numeri inferiori, avrebbero attirato maggiore attenzione.
La classificazione di Cisco Talos descrive CVE-2026-96951 come un bypass di sicurezza di Windows Shell. Tra le vulnerabilità rese pubbliche questo mese, Rapid7 cita anche CVE-2026-108398, un bypass delle funzioni di sicurezza di .NET Framework. Per sfruttarlo, l'attaccante deve già avere accesso al sistema e registrare un assembly .NET malevolo da caricare in un processo protetto. Secondo l'analisi, la tecnica potrebbe aggirare Windows Defender Application Control, ora chiamato App Control for Business.
Rapid7 segnala lacune anche nelle informazioni sulle correzioni di Microsoft Edge. Alcune note di rilascio indicano nuove versioni con fix di Chromium, ma non specificano quali vulnerabilità siano state risolte. Al momento dell'analisi, la Security Update Guide non riportava vulnerabilità di Edge corrette nella prima parte del mese. Le note rimandavano a un aggiornamento successivo dei dettagli CVE.
Con la pubblicazione delle patch cambiano anche alcuni cicli di supporto. Windows 11 24H2 Home e Pro hanno raggiunto la fine del servizio. Windows Server 2022 è passato al supporto esteso: restano gli aggiornamenti di sicurezza critici, ma non sono previsti altri sviluppi di funzionalità. È terminato anche il terzo e ultimo anno degli Extended Security Updates a pagamento per Windows Server 2012 e Windows Server 2012 R2.
Windows Server 2012 non riceve una patch per la falla sfruttata di Windows Shell, mentre Windows Server 2012 R2 sì. Esce dal supporto anche Office 2021, inclusa l'edizione Long-Term Servicing Channel. La stessa scadenza riguarda Exchange Server 2016 e Exchange Server 2019. Rapid7 riferisce che le future CVE di Exchange non citeranno più quelle versioni non supportate, che potrebbero comunque restare esposte a nuove vulnerabilità.
Questo è solo il secondo mese in cui Microsoft pubblica vulnerabilità con identificativi CVE a sei cifre. Barnett considera destinato a diventare ordinario questo formato, con l'aumento dei volumi di disclosure.
