Microsoft risolve 1.411 vulnerabilità in Patch Tuesday di ottobre 2026, tra cui tre zero-day

Microsoft ha rilasciato gli aggiornamenti di sicurezza di ottobre 2026, noti come Patch Tuesday, che risolvono 1.411 vulnerabilità, tra cui una attivamente sfruttata e due divulgate pubblicamente come zero-day. L'azienda ha classificato 70 vulnerabilità come critiche, di cui 57 consentono l'esecuzione remota di codice, 11 privilegial elevazione e 2 spoofing. Tra le zero-day, spicca CVE-2026-96951, una vulnerabilità di bypass della caratteristica di sicurezza di Windows Shell, e CVE-2026-108398, un bypass nel .NET Framework che permette l'esecuzione di applicazioni non autorizzate. Inoltre, è stata risolta CVE-2026-92707, una vulnerabilità di negazione del servizio in MessagePack-CSharp.

Microsoft ha dichiarato che le vulnerabilità sono state raggruppate in 15 cohorti di rischio, tra cui 136 relative a file system e storage, 135 a documenti Office e client di posta, 131 a grafica e media di Windows, 109 a core e kernel, e 103 a installazione e aggiornamenti. Inoltre, sono stati annunciati il raggiungimento della fine del supporto per Windows 11 versione 24H2 Home e Pro e Windows 10 Enterprise LTSB 2016, con l'update di ottobre 2026 che rappresenta l'ultimo aggiornamento disponibile per queste edizioni. Microsoft ha anche introdotto un nuovo metodo per priorizzare gli aggiornamenti di sicurezza, raggruppando vulnerabilità correlate in cohorti di rischio, sebbene abbia precisato che tali gruppi non indicano necessariamente la pericolosità reale delle vulnerabilità, che dipende dall'esploitation e dall'uso specifico da parte delle organizzazioni.