L'aggiornamento del 13 ottobre ha superato il precedente record Microsoft, con 1.413 vulnerabilità corrette. Tra queste, una falla zero-day di Windows Shell era già sotto attacco.
Pubblicato il 13 ottobre 2026, il pacchetto corregge difetti in diversi prodotti e servizi aziendali. Con 1.413 vulnerabilità, supera il precedente record annuale di 1.261 CVE, stabilito nel 2020. Secondo il conteggio riportato da TechRepublic, 75 falle sono classificate come critiche.
Il volume delle correzioni non dice da solo quali problemi richiedano un intervento immediato. Microsoft segnala una sola vulnerabilità sfruttata attivamente.
È una falla di Windows Shell.
La vulnerabilità CVE-2026-96951 consente di aggirare una funzionalità di sicurezza e ha un punteggio CVSS di 8,8 su 10. Microsoft afferma che è stata sfruttata prima che la correzione fosse disponibile. Il difetto permette di eludere Mark of the Web (MOTW), il contrassegno applicato ai file provenienti da fonti potenzialmente non attendibili. È descritto anche come un'iniezione di comandi in Windows Shell.
Per sfruttarla, l'attaccante deve convincere la vittima ad aprire un file appositamente predisposto oppure a visitare una risorsa sotto il suo controllo. Il file può arrivare via e-mail. Può essere inviato anche con strumenti di messaggistica o collaborazione, oppure scaricato da un sito malevolo. Se MOTW viene aggirato, potrebbero non comparire gli avvisi di SmartScreen; possono saltare anche le protezioni di Office, compresa la visualizzazione protetta. Microsoft raccomanda di installare gli aggiornamenti di sicurezza quanto prima. I dettagli sono nell'avviso Microsoft di ottobre.
Per Satnam Narang, senior staff research engineer di Tenable, questa è la terza vulnerabilità di Windows Shell sfruttata attivamente nel 2026. Narang riferisce che Microsoft ha corretto 26 falle di Windows Shell nel 2026 fino a ottobre. Nel 2025 erano state tre; nel 2024 e nel 2022, una per ciascun anno. CISA ha inserito CVE-2026-96951 nel catalogo Known Exploited Vulnerabilities il 13 ottobre e ha fissato al 16 ottobre la scadenza per la correzione da parte delle agenzie federali statunitensi. Tenable ha pubblicato i dettagli nella sua analisi del Patch Tuesday.
Le vulnerabilità individuate e gli attacchi confermati sono conteggi diversi. Dustin Childs, responsabile della threat awareness presso TrendAI's Zero Day Initiative, osserva che tra gennaio e ottobre 2023 erano stati segnalati 17 zero-day Microsoft. Nello stesso periodo del 2026, il totale era 15.
La differenza tra una rivendicazione e un'intrusione dimostrata è emersa anche nel caso della rivendicazione KFC. In questo aggiornamento, Microsoft indica invece una vulnerabilità sotto attacco attivo.
Il conteggio complessivo non basta a fissare le priorità.
Windows concentra 1.102 vulnerabilità. L'aggiornamento ne corregge inoltre 134 per Office. Altre 61 riguardano vari strumenti di sviluppo; 36 interessano SharePoint Server. Microsoft ha introdotto i cosiddetti "risk cohorts", gruppi di vulnerabilità che possono richiedere valutazioni simili da parte dei clienti anche quando non condividono la stessa causa o gravità.
Childs attribuisce all'intelligenza artificiale una parte dell'aumento nella capacità di individuare le falle, ma precisa che non è l'AI a crearle. Riduce invece il tempo tra la comparsa di una vulnerabilità e la sua scoperta. Childs invita i team di sicurezza a valutare la sfruttabilità prima di assegnare le priorità. Chiede anche di considerare le informazioni pubbliche, invece di ordinare il lavoro contando semplicemente le CVE.
Nello stesso giorno Microsoft ha pubblicato aggiornamenti per Windows 11. Sono usciti anche aggiornamenti per Windows Server 2025 e Windows Server 2022, oltre che per altri prodotti supportati. Un aggiornamento separato di .NET Framework ha corretto CVE-2026-96958, una vulnerabilità di tipo denial of service. L'elenco completo delle falle corrette è disponibile nel Microsoft Security Response Center.
