L'aggiornamento di settembre di Microsoft chiude due falle di Windows già sotto attacco
Entrambi gli zero-day consentono di ottenere il controllo totale come SYSTEM, ed entrambi erano già sfruttati prima che Microsoft avesse pronta una correzione. Aggiornare subito.
Redazione Economia di Meridians
Published 9 settembre 2026 · Updated 9 settembre 2026 · 4 min read
SoftwareThe short answer
- Il Patch Tuesday di Microsoft dell'8 settembre 2026 ha corretto due vulnerabilità zero-day che gli aggressori stavano già sfruttando prima che esistesse una patch.
- CVE-2026-81963 è una falla del Windows Update Stack che consente a un aggressore locale di ottenere privilegi SYSTEM; CVE-2026-85880 è una falla di Windows ALPC che consente al codice eseguito in una sandbox a bassi privilegi di uscirne.
- L'aggiornamento copre in tutto circa 970 vulnerabilità, poco più di 100 delle quali classificate come critiche, anche se le testate divergono leggermente sul conteggio esatto.
- Microsoft ha attribuito in parte l'elevato numero di vulnerabilità a un nuovo sistema interno di individuazione assistito dall'IA.
L'aggiornamento di sicurezza Microsoft di settembre 2026, pubblicato l'8 settembre, corregge due vulnerabilità che gli aggressori stavano già sfruttando prima che esistesse una patch. Entrambe consentono a chi ha già messo piede su una macchina Windows di assumerne il controllo completo. Se Windows Update non è impostato sull'installazione automatica, conviene procedere manualmente oggi stesso.
I due zero-day
- CVE-2026-81963 — una falla del Windows Update Stack dovuta a una risoluzione errata dei collegamenti prima dell'accesso a un file. Consente a un aggressore locale di ottenere privilegi di livello SYSTEM, il massimo livello di accesso su una macchina Windows. Microsoft attribuisce la scoperta al proprio Threat Intelligence Center e al ricercatore Romain Deperne.
- CVE-2026-85880 — un buffer overflow nell'heap del meccanismo Advanced Local Procedure Call (ALPC) di Windows. Secondo il testo dell'avviso, un aggressore in grado di eseguire codice all'interno di una sandbox AppContainer a bassi privilegi può sfruttare la falla per uscirne e ottenere un accesso di livello superiore. La scoperta è attribuita a ricercatori di Volexity e Proofpoint.
Un aggiornamento con un numero insolitamente alto di vulnerabilità
Le due testate che seguono il Patch Tuesday nel dettaglio contano questo aggiornamento in modo diverso: SecurityWeek indica un totale di 974 vulnerabilità corrette, BleepingComputer 966 (più altre 204 che Microsoft aveva già chiuso all'inizio di settembre, fuori dal consueto ciclo mensile). BleepingComputer classifica come critiche 105 falle — 81 consentono l'esecuzione di codice da remoto, 20 l'innalzamento dei privilegi, due la divulgazione di informazioni e una l'aggiramento di una funzione di sicurezza — e ne segnala 20 come «wormable», cioè in grado in linea di principio di propagarsi da una macchina all'altra senza che nessuno clicchi nulla. Microsoft ha dichiarato a BleepingComputer che il numero insolitamente alto dipende in parte da un nuovo sistema interno di individuazione delle vulnerabilità assistito dall'IA. Satnam Narang di Tenable ha offerto a SecurityWeek una lettura più scettica: la ricerca assistita dall'IA trova un pagliaio più grande di vulnerabilità, non necessariamente più aghi rilevanti per un aggressore.
Che cosa fare
Windows installa l'aggiornamento di settembre automaticamente, se gli aggiornamenti automatici sono attivi. Per verificare manualmente: Impostazioni > Windows Update > Verifica disponibilità aggiornamenti. Poiché uno dei due zero-day consente di uscire da una sandbox, i team di sicurezza che utilizzano strumenti basati su AppContainer dovrebbero trattare l'aggiornamento di questo mese come urgente e non come ordinaria amministrazione.
Sources
Every factual claim above is traceable to these documents. Check them — that is why they are here.
About this byline
Redazione Economia di Meridians is an editorial desk at Meridians, not an individual. A desk byline means the article was produced and fact-checked to that desk's published standards. Read our editorial standards and corrections policy.
Sponsorizzato
Paid placement · not editorial
CISA fissa una scadenza entro la stessa settimana per quattro falle già sfruttate: una tocca il punteggio massimo di 10
4 min di lettura · 13 settembre 2026
Google conferma attacchi in corso che sfruttano una falla di Chrome. Aggiorni subito, poi controlli ogni browser Chromium che utilizza
3 min di lettura · 6 settembre 2026
Un guasto a Microsoft 365 lascia Outlook e Teams fuori uso per ore
3 min di lettura · 1 settembre 2026
The Meridians Brief
One considered email a week
What changed, what it costs you, and what to do about it — from the Meridians desks. No sponsored picks disguised as recommendations.
Sign-up opens with our launch issue. Nothing is sent or stored yet.