La Correzione Arriva Attraverso Ciò Che Si È Rotto

Il Patch Tuesday dell'8 settembre di Microsoft ha corretto CVE-2026-81963, un difetto di elevazione dei privilegi in Windows Update Stack causato da una risoluzione impropria dei collegamenti, lo stesso componente che consegna ogni patch di sicurezza a una macchina Windows. Un aggressore autenticato localmente, già dotato di accesso di basso livello, può sfruttarlo senza alcuna interazione dell'utente per ottenere privilegi SYSTEM completi. CISA ha confermato lo sfruttamento attivo e ha aggiunto il difetto al proprio catalogo Known Exploited Vulnerabilities l'8 settembre, con una scadenza di correzione fissata al 22 settembre secondo la Binding Operational Directive 26-04.

Dal 2022 sono stati corretti sette bug di elevazione dei privilegi in Windows Update Stack durante i Patch Tuesday. CVE-2026-81963 è il primo di questi sette a essere stato sfruttato nel mondo reale come zero-day, cioè gli aggressori lo usavano già prima che esistesse la correzione di Microsoft, non dopo. Microsoft lo valuta 7,8 su 10, Importante anziché Critico, lo stesso livello assegnato ai comuni bug di elevazione dei privilegi locali che non vengono mai sfruttati nel mondo reale.

Non Si Può Isolare Il Canale Che Ti Ripara

Per la maggior parte delle vulnerabilità sfruttate, un team di sicurezza dispone di una misura di mitigazione a cui ricorrere mentre una patch viene testata: disattivare una funzione, bloccare una porta, isolare un servizio. Windows Update Stack non permette questa opzione. Chi disattiva o limita il componente attaccato disattiva anche il meccanismo di cui un'organizzazione ha bisogno per ricevere proprio questa correzione, e tutte quelle successive. Un team che avesse voluto attendere e testare questa patch su un anello più lento, la prassi normale per un aggiornamento di sicurezza dagli effetti collaterali sconosciuti, avrebbe passato quel periodo di attesa a far girare il componente vulnerabile senza alcun isolamento disponibile.

Lo stesso componente Windows Advanced Local Procedure Call di Microsoft, ALPC, ha portato nella stessa versione un secondo zero-day sfruttato attivamente, CVE-2026-85880, anch'esso valutato 7,8 e anch'esso aggiunto al catalogo CISA con la stessa scadenza del 22 settembre. Dal 2022 sono state corrette sedici vulnerabilità di ALPC, ma questa è la prima sfruttata nel mondo reale ad apparire in una versione Patch Tuesday da più di tre anni, dall'aprile 2023. Due componenti strutturalmente diversi, entrambi vicini al confine di fiducia della macchina stessa, entrambi trasformati in arma prima che la correzione di Microsoft raggiungesse chiunque.

Cosa Significa Per Un Ciclo Di Patch

Un'etichetta di gravità del fornitore come Importante lascia normalmente che una patch attenda dietro un lavoro a priorità più alta. L'inclusione da parte di CISA di entrambi i difetti nel proprio catalogo Known Exploited Vulnerabilities esiste proprio per superare questo istinto: le voci del KEV nascono da sfruttamento confermato, non dalla classificazione interna di un fornitore, e la Binding Operational Directive 26-04 chiede alle agenzie federali, e per estensione a qualsiasi organizzazione che segua le linee guida CISA per la propria definizione delle priorità di patch, di trattare una voce del KEV come urgente indipendentemente dal livello CVSS assegnato.

Per le organizzazioni con anelli di distribuzione scaglionati, il Patch Tuesday di settembre è l'argomento a favore di accorciare il divario tra rilascio e distribuzione completa proprio per tutto ciò che riguarda la pipeline degli aggiornamenti stessa, perché una vulnerabilità dentro il meccanismo che alla fine consegna la tua correzione non è qualcosa che ci si può permettere di lasciare senza patch mentre la si valuta su un anello di prova. La lezione pratica è la stessa che il catalogo KEV di CISA esiste per insegnare: inserire l'elenco di sfruttamento confermato direttamente nelle decisioni di priorità delle patch, invece di fidarsi della classificazione di gravità di un fornitore per sapere cosa può aspettare.

Servola Journal

Lo facciamo per tutti quelli che cercano di tenere il passo con quello che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Servola Journal esiste perché quello che impariamo appartenga a tutti loro.

Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire quello che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.

Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like o scrivi un commento positivo. Li leggiamo tutti, e sono quello che ci fa andare avanti.

Da leggere ora: Metà dei sei zero-day di Chrome del 2026 ha colpito lo stesso motore  |  Il Prossimo Zero-Day di Chrome Finisce a Bruxelles