Windows zero-day settembre 2026: 2 falle già sfruttate

Gli aggiornamenti di sicurezza Microsoft di settembre 2026 correggono due vulnerabilità Windows già sfruttate in attacchi reali. Si tratta di CVE-2026-81963, nel Windows Update Stack, e CVE-2026-85880, nel componente Windows Advanced Local Procedure Call. Entrambe possono consentire a un attaccante già in grado di eseguire codice sul sistema di ottenere privilegi SYSTEM.

La conseguenza pratica è semplice: se Windows Update propone gli aggiornamenti di sicurezza di settembre, non conviene rimandarli senza un motivo concreto. Non sono falle che permettono a chiunque su Internet di prendere il controllo di un PC con un solo pacchetto di rete, ma possono trasformare un accesso limitato in controllo molto più ampio del sistema.

Quali sono le due zero-day Windows di settembre 2026

La prima vulnerabilità, CVE-2026-81963, riguarda il Windows Update Stack. Secondo l’analisi pubblicata da Tenable sul Patch Tuesday di settembre 2026, è una falla di tipo link following che può essere sfruttata per elevare i privilegi fino a SYSTEM. Ha un punteggio CVSS 7.8 ed è classificata Important, ma il dato che cambia la priorità è un altro: Microsoft ha rilevato sfruttamento nel mondo reale.

La seconda, CVE-2026-85880, interessa Windows ALPC, il meccanismo usato da processi locali per comunicare tra loro. Anche questa vulnerabilità ha CVSS 7.8 e può portare a privilegi SYSTEM. Microsoft la indica come sfruttata. I dettagli ufficiali sono disponibili nella scheda MSRC di CVE-2026-85880.

Il Patch Tuesday di settembre supera 900 vulnerabilità: perché i conteggi cambiano

Il pacchetto di settembre è eccezionalmente ampio. Le analisi pubblicate dopo il rilascio contano oltre 900 vulnerabilità corrette, ma il numero preciso cambia in base al metodo usato. Tenable ne conta 964, mentre Zero Day Initiative, ripresa da Ars Technica, arriva a circa 972 e sale ancora includendo correzioni Chromium portate in Microsoft Edge.

La differenza non significa che una fonte abbia necessariamente sbagliato. Alcuni conteggi includono o escludono CVE già corrette altrove, componenti condivisi e fix derivati da Chromium. Per l’utente domestico il totale non cambia la procedura: conta installare il cumulativo previsto per la propria versione di Windows. Per un amministratore IT, invece, il volume rende ancora più importante ordinare le patch per esposizione e impatto.

Non tutte le falle hanno la stessa priorità

Le due vulnerabilità già sfruttate restano il primo segnale da considerare. Subito dopo vengono i problemi critici che possono colpire servizi esposti o sistemi centrali. Tra quelli evidenziati nelle analisi di settembre compare CVE-2026-69525 in Remote Desktop Services, con CVSS 9.8, oltre a vulnerabilità rilevanti in Exchange Server, SharePoint e SQL Server.

Questo non significa che ogni PC domestico sia direttamente esposto a Exchange, SharePoint o SQL Server. Il punto è evitare una lettura basata soltanto sul numero totale. Un PC personale deve installare gli aggiornamenti Windows disponibili; un’azienda deve anche mappare i prodotti realmente presenti e dare precedenza ai sistemi raggiungibili dalla rete e ai servizi critici.

Il riferimento finale per verificare prodotti, CVE e bollettini resta la Microsoft Security Update Guide, che permette di filtrare gli aggiornamenti in base al software effettivamente utilizzato.

Cosa significa elevazione dei privilegi a SYSTEM

Su Windows un processo con privilegi limitati non può normalmente modificare qualsiasi file, servizio o impostazione protetta. SYSTEM è uno dei livelli di privilegio più elevati del sistema operativo. Una falla di elevazione dei privilegi serve quindi a superare i confini imposti a un processo o a un account con meno permessi.

Questo dettaglio distingue il rischio da una vulnerabilità remota senza autenticazione. Le due zero-day non significano che un PC venga compromesso automaticamente solo perché è collegato a Internet. Diventano però molto utili dentro una catena d’attacco: malware, exploit o un aggressore che ha già ottenuto una prima esecuzione sul dispositivo possono tentare di trasformare quel punto d’appoggio in controllo più profondo.

CVSS 7.8 non vuol dire che puoi ignorarle

Il punteggio CVSS misura caratteristiche tecniche della vulnerabilità, non l’intero contesto operativo. Una falla da 7.8 già sfruttata può meritare una priorità maggiore di una vulnerabilità con punteggio più alto per la quale non esiste evidenza di attacco. Il criterio utile è combinare gravità, sfruttamento reale e disponibilità della patch.

Cosa deve fare chi usa Windows 11

Per la maggior parte degli utenti la misura principale è installare l’aggiornamento cumulativo di sicurezza distribuito da Microsoft per la propria versione di Windows. Non serve scaricare patch da siti non ufficiali e non conviene cercare workaround generici se Windows Update offre già la correzione prevista per il dispositivo.

1. Apri Impostazioni.
2. Vai in Windows Update.
3. Premi Verifica disponibilità aggiornamenti.
4. Installa gli aggiornamenti di sicurezza di settembre 2026 proposti per il tuo ramo di Windows.
5. Riavvia il PC se richiesto.
6. Controlla che non restino aggiornamenti di sicurezza in sospeso.

Su Windows 11 abbiamo già analizzato KB5124008 e le modifiche introdotte dall’aggiornamento di settembre. Il numero KB può cambiare in base alla versione del sistema, quindi non va usato come unico criterio per stabilire se ogni PC Windows sia protetto.

Se Windows Update dice che sei aggiornato, sei al sicuro?

Se il dispositivo esegue una versione di Windows supportata e ha installato gli aggiornamenti di sicurezza corretti per settembre 2026, la superficie relativa a queste vulnerabilità viene chiusa dalla patch prevista. Resta però importante distinguere questo concetto da una verifica di compromissione.

Una patch impedisce nuovi sfruttamenti della vulnerabilità corretta, ma non dimostra da sola che un sistema non sia stato compromesso prima dell’aggiornamento. Per il normale PC domestico non c’è motivo di presumere un attacco solo perché la patch è uscita. In un ambiente aziendale con segnali anomali, EDR in allarme o dispositivi esposti, l’installazione dell’update e l’analisi dell’eventuale incidente sono due attività diverse.

Serve disattivare Windows Update per evitare problemi?

No. Disattivare Windows Update per paura di possibili bug lascia aperte vulnerabilità che hanno già mostrato sfruttamento reale. Se un PC gestisce attività critiche e richiede test prima del deployment, la scelta corretta è validare rapidamente l’aggiornamento su un gruppo limitato di macchine e poi distribuirlo, non bloccare le patch a tempo indefinito.

Se dopo un aggiornamento compaiono problemi concreti, va valutato il singolo bug. Abbiamo raccolto anche diversi casi di errori di aggiornamento di Windows 11 e controlli da eseguire, utili quando il problema non è la volontà di aggiornare ma l’installazione che non va a buon fine.

Quanto è urgente installare le patch

Per un PC supportato che non ha ancora installato gli aggiornamenti di settembre 2026, la priorità è alta. Le due vulnerabilità non sono soltanto teoriche: lo sfruttamento è stato rilevato. Questo non giustifica allarmismo, ma rende poco sensato rimandare per settimane un update di sicurezza già disponibile.

La decisione pratica è netta: aggiorna dal canale ufficiale, riavvia quando richiesto e verifica che Windows Update non lasci patch di sicurezza in sospeso. Chi gestisce flotte aziendali dovrebbe affiancare alla distribuzione delle patch un controllo dei dispositivi che mostrano indicatori anomali.

CVE-2026-69522 in .NET Framework: serve una patch separata?

Tra le correzioni distribuite l’8 settembre c’è anche CVE-2026-69522, una vulnerabilità di esecuzione di codice remoto in .NET Framework. Microsoft la include negli aggiornamenti cumulativi e nei Security and Quality Rollup previsti per le diverse versioni supportate di Windows e Windows Server.

Per esempio, il cumulativo KB5126424 per .NET Framework 3.5 e 4.8.1 su Windows 11 23H2 elenca esplicitamente CVE-2026-69522 tra i problemi di sicurezza corretti. Microsoft documenta la stessa CVE anche nei pacchetti destinati ad altre versioni di Windows e Windows Server.

Non esiste quindi un unico numero KB valido per ogni computer. Su un PC domestico supportato la procedura corretta resta Windows Update, che propone il pacchetto applicabile alla versione installata. In azienda conviene invece verificare che WSUS, Intune o gli altri strumenti di gestione abbiano distribuito anche gli aggiornamenti .NET previsti per ciascun sistema.

Il dato utile è distinguere questa falla dalle due zero-day già sfruttate descritte sopra: Microsoft documenta CVE-2026-69522 come RCE corretta dagli aggiornamenti di settembre, ma questo non equivale a dire che sia già sfruttata negli attacchi. La ragione per aggiornare è che la correzione è disponibile e .NET Framework è presente in molti ambienti Windows, non la necessità di trasformare ogni CVE critica in un allarme.