Il rilascio Microsoft del 13 ottobre 2026 contiene oltre 1.400 correzioni, non altrettante emergenze equivalenti. Una falla Windows Shell appena corretta era già sfruttata: è il segnale più chiaro nella mole.
I conteggi variano da 1.407 a 1.415 per prodotti, precedenti fix e istante. Settembre era circa mille. Le fonti collegano parte dell’aumento ad automazione e AI, senza misurarne il contributo preciso.
Inventario, compatibilità, finestre e verifica determinano ancora quando una scoperta diventa protezione. Non crescono alla stessa velocità.
Conteggi differenti, scala comune
ZDI conta 1.415 nuovi CVE, Rapid7 1.413 con 1.102 Windows. Altri 1.407, 1.409 e 1.411. Cloud, componenti e correzioni anticipate cambiano metodo, che va associato al numero.
Windows domina, ma sono presenti Office, SharePoint, Exchange, .NET, SQL Server, sviluppo e Azure. CrowdStrike indica 75 Critical e tre zero-day. Zero-day non equivale a sfruttamento attivo: uno dei nuovi fix aveva attacchi confermati.
Risk cohorts raggruppano correlati, senza sostituire CVE e indicazioni distributive. Non stabiliscono installazione, raggiungibilità o importanza locale.
Anche l’assenza di attacco richiede lavoro. Identità, rete, remoto e applicazioni vanno testati. I problemi di settembre con Remote Desktop, audio e condivisioni virtuali giustificano cautela, non ignorare attacchi noti.
Windows Shell ha urgenza diversa
CVE-2026-96951 è bypass 8,8 su client e server supportati, inclusi Windows 10 e 11. I ricercatori descrivono Mark of the Web, metadati di origine esterna che attivano avvisi e controlli.
Togliere barriera aiuta allegati e download ostili, non significa compromissione automatica da sola. Autore, diffusione e payload non erano completamente pubblici all’uscita.
La presenza di attacchi osservati comporta un’urgenza diversa da un valore teorico di 9,8. CVSS descrive caratteristiche tecniche secondo un modello standard, non la disponibilità di strumenti funzionanti per l’attaccante, la reale raggiungibilità del componente o il valore delle credenziali presenti sul dispositivo. Allegati e download creano un percorso concreto anche verso endpoint che non espongono servizi pubblici.
Amministratori, sviluppatori, finanza e dirigenti possono detenere diritti preziosi. Controlli su endpoint, allegati e app aiutano durante l’attesa, non dimostrano patch superfluo o assenza di attività precedente.
KEV segue attacchi osservati. Le scadenze federali valgono per enti coperti, non automaticamente imprese. Tyler Reguly di Fortra citava 26 voci Microsoft nel 2026 come priorità, non irrilevanza delle altre.
La ricerca automatica supera la correzione operativa
Analisi statica, fuzzing e varianti scalano modelli di errore. Fuzzing invia input inattesi; varianti cercano parenti del difetto. LLM aiutano revisione, test e riparazione con verifica umana.
Krebs collega la crescita a LLM Microsoft. Il conteggio non separa vecchi difetti trovati prima, copertura, assegnazione e divulgazione. Un pattern può produrre più identificativi.
ZDI riportava 15 zero-day fino a ottobre 2026 contro 17 nello stesso periodo 2023, con 914 CVE nell’intero 2023. Un mese supera l’anno senza proporzionale sfruttamento osservato.
È visibilità, non vittoria. Attaccanti confrontano binari, ricostruiscono debolezze e adattano codice. Più triage allunga pubblicazione-installazione; basta una via utile.
Critical richiede ambiente
ZDI identifica 59 potenzialmente wormable senza autenticazione o interazione. Non prevede 59 worm globali: servizi possono essere spenti o interni.
DHCP, NPS, Remote Desktop Gateway, DNS, TCP/IP e IIS sono inclusi. Message Queuing ha RCE 9,8 ma non è attivo di default. Presenza e accesso non fidato cambiano urgenza.
SharePoint CVE-2026-102866 riguarda elevazione Critical nella verifica delle firme con proof token valido dell’utente bersaglio. Diverso dall’accesso anonimo, resta importante.
Exchange, Office, AD, .NET e rete variano per architettura. Solo cloud non equivale a vecchio server mail proprio. Alcuni problemi cloud erano già corretti da Microsoft senza distribuzione cliente.
Eliminare voci non applicabili non trascura sicurezza. Distingue prodotto, accesso, autenticazione, interazione e impatto. Misure compensative offrono tempo, non immunità permanente.
Esposizione protetta, non ticket chiusi
Portatili, server, industria e cloud hanno responsabili e cicli diversi. Scanner duplicano o associano male, rallentando protezione.
Anelli testano rappresentanti prima della massa; sistemi critici possono accelerare. Fallimenti e attese sono diversi: riparazione o modifica applicativa non è una finestra. Eccezioni richiedono proprietario e termine.
Alta percentuale nasconde un server aperto o endpoint privilegiato. Separare attacchi, Critical raggiungibili, asset senza supporto, errori e ritardi; medie nascondono la coda.
I prossimi segnali sono lo sfruttamento confermato di altre vulnerabilità di ottobre, la pubblicazione di codice funzionante e l’affidabilità delle installazioni sui sistemi rappresentativi. Codice pubblico non dimostra una campagna diffusa, ma riduce competenze e tempo necessari per provare servizi non corretti. Revisioni degli avvisi Microsoft, nuove voci KEV, scansioni ostili e telemetria interna possono cambiare la valutazione del primo giorno.
Windows non è 1.400 volte peggiore e il resto non innocuo. La scoperta cresce più della distribuzione sicura. La prova è protezione concreta e motivi documentati con monitoraggio dei ritardi.