Gli aggiornamenti di sicurezza Microsoft di settembre 2026 correggono due vulnerabilità Windows già sfruttate in attacchi reali. Si tratta di CVE-2026-81963, nel Windows Update Stack, e CVE-2026-85880, nel componente Windows Advanced Local Procedure Call. Entrambe possono consentire a un attaccante già in grado di eseguire codice sul sistema di ottenere privilegi SYSTEM.
La conseguenza pratica è semplice: se Windows Update propone gli aggiornamenti di sicurezza di settembre, non conviene rimandarli senza un motivo concreto. Non sono falle che permettono a chiunque su Internet di prendere il controllo di un PC con un solo pacchetto di rete, ma possono trasformare un accesso limitato in controllo molto più ampio del sistema.
Quali sono le due zero-day Windows di settembre 2026
La prima vulnerabilità, CVE-2026-81963, riguarda il Windows Update Stack. Secondo l’analisi pubblicata da Tenable sul Patch Tuesday di settembre 2026, è una falla di tipo link following che può essere sfruttata per elevare i privilegi fino a SYSTEM. Ha un punteggio CVSS 7.8 ed è classificata Important, ma il dato che cambia la priorità è un altro: Microsoft ha rilevato sfruttamento nel mondo reale.
La seconda, CVE-2026-85880, interessa Windows ALPC, il meccanismo usato da processi locali per comunicare tra loro. Anche questa vulnerabilità ha CVSS 7.8 e può portare a privilegi SYSTEM. Microsoft la indica come sfruttata. I dettagli ufficiali sono disponibili nella scheda MSRC di CVE-2026-85880.
| Vulnerabilità | Componente | Impatto | Sfruttata |
|---|---|---|---|
| CVE-2026-81963 | Windows Update Stack | Elevazione a SYSTEM | Sì |
| CVE-2026-85880 | Windows ALPC | Elevazione a SYSTEM | Sì |
Il Patch Tuesday di settembre supera 900 vulnerabilità: perché i conteggi cambiano
Il pacchetto di settembre è eccezionalmente ampio. Le analisi pubblicate dopo il rilascio contano oltre 900 vulnerabilità corrette, ma il numero preciso cambia in base al metodo usato. Tenable ne conta 964, mentre Zero Day Initiative, ripresa da Ars Technica, arriva a circa 972 e sale ancora includendo correzioni Chromium portate in Microsoft Edge.
La differenza non significa che una fonte abbia necessariamente sbagliato. Alcuni conteggi includono o escludono CVE già corrette altrove, componenti condivisi e fix derivati da Chromium. Per l’utente domestico il totale non cambia la procedura: conta installare il cumulativo previsto per la propria versione di Windows. Per un amministratore IT, invece, il volume rende ancora più importante ordinare le patch per esposizione e impatto.
Non tutte le falle hanno la stessa priorità
Le due vulnerabilità già sfruttate restano il primo segnale da considerare. Subito dopo vengono i problemi critici che possono colpire servizi esposti o sistemi centrali. Tra quelli evidenziati nelle analisi di settembre compare CVE-2026-69525 in Remote Desktop Services, con CVSS 9.8, oltre a vulnerabilità rilevanti in Exchange Server, SharePoint e SQL Server.
Questo non significa che ogni PC domestico sia direttamente esposto a Exchange, SharePoint o SQL Server. Il punto è evitare una lettura basata soltanto sul numero totale. Un PC personale deve installare gli aggiornamenti Windows disponibili; un’azienda deve anche mappare i prodotti realmente presenti e dare precedenza ai sistemi raggiungibili dalla rete e ai servizi critici.
Il riferimento finale per verificare prodotti, CVE e bollettini resta la Microsoft Security Update Guide, che permette di filtrare gli aggiornamenti in base al software effettivamente utilizzato.
Cosa significa elevazione dei privilegi a SYSTEM
Su Windows un processo con privilegi limitati non può normalmente modificare qualsiasi file, servizio o impostazione protetta. SYSTEM è uno dei livelli di privilegio più elevati del sistema operativo. Una falla di elevazione dei privilegi serve quindi a superare i confini imposti a un processo o a un account con meno permessi.
Questo dettaglio distingue il rischio da una vulnerabilità remota senza autenticazione. Le due zero-day non significano che un PC venga compromesso automaticamente solo perché è collegato a Internet. Diventano però molto utili dentro una catena d’attacco: malware, exploit o un aggressore che ha già ottenuto una prima esecuzione sul dispositivo possono tentare di trasformare quel punto d’appoggio in controllo più profondo.
CVSS 7.8 non vuol dire che puoi ignorarle
Il punteggio CVSS misura caratteristiche tecniche della vulnerabilità, non l’intero contesto operativo. Una falla da 7.8 già sfruttata può meritare una priorità maggiore di una vulnerabilità con punteggio più alto per la quale non esiste evidenza di attacco. Il criterio utile è combinare gravità, sfruttamento reale e disponibilità della patch.
Cosa deve fare chi usa Windows 11
Per la maggior parte degli utenti la misura principale è installare l’aggiornamento cumulativo di sicurezza distribuito da Microsoft per la propria versione di Windows. Non serve scaricare patch da siti non ufficiali e non conviene cercare workaround generici se Windows Update offre già la correzione prevista per il dispositivo.
- Apri Impostazioni.
- Vai in Windows Update.
- Premi Verifica disponibilità aggiornamenti.
- Installa gli aggiornamenti di sicurezza di settembre 2026 proposti per il tuo ramo di Windows.
- Riavvia il PC se richiesto.
- Controlla che non restino aggiornamenti di sicurezza in sospeso.
Su Windows 11 abbiamo già analizzato KB5124008 e le modifiche introdotte dall’aggiornamento di settembre. Il numero KB può cambiare in base alla versione del sistema, quindi non va usato come unico criterio per stabilire se ogni PC Windows sia protetto.
Se Windows Update dice che sei aggiornato, sei al sicuro?
Se il dispositivo esegue una versione di Windows supportata e ha installato gli aggiornamenti di sicurezza corretti per settembre 2026, la superficie relativa a queste vulnerabilità viene chiusa dalla patch prevista. Resta però importante distinguere questo concetto da una verifica di compromissione.
Una patch impedisce nuovi sfruttamenti della vulnerabilità corretta, ma non dimostra da sola che un sistema non sia stato compromesso prima dell’aggiornamento. Per il normale PC domestico non c’è motivo di presumere un attacco solo perché la patch è uscita. In un ambiente aziendale con segnali anomali, EDR in allarme o dispositivi esposti, l’installazione dell’update e l’analisi dell’eventuale incidente sono due attività diverse.
Serve disattivare Windows Update per evitare problemi?
No. Disattivare Windows Update per paura di possibili bug lascia aperte vulnerabilità che hanno già mostrato sfruttamento reale. Se un PC gestisce attività critiche e richiede test prima del deployment, la scelta corretta è validare rapidamente l’aggiornamento su un gruppo limitato di macchine e poi distribuirlo, non bloccare le patch a tempo indefinito.
Se dopo un aggiornamento compaiono problemi concreti, va valutato il singolo bug. Abbiamo raccolto anche diversi casi di errori di aggiornamento di Windows 11 e controlli da eseguire, utili quando il problema non è la volontà di aggiornare ma l’installazione che non va a buon fine.
Quanto è urgente installare le patch
Per un PC supportato che non ha ancora installato gli aggiornamenti di settembre 2026, la priorità è alta. Le due vulnerabilità non sono soltanto teoriche: lo sfruttamento è stato rilevato. Questo non giustifica allarmismo, ma rende poco sensato rimandare per settimane un update di sicurezza già disponibile.
La decisione pratica è netta: aggiorna dal canale ufficiale, riavvia quando richiesto e verifica che Windows Update non lasci patch di sicurezza in sospeso. Chi gestisce flotte aziendali dovrebbe affiancare alla distribuzione delle patch un controllo dei dispositivi che mostrano indicatori anomali.
