Il Patch Tuesday di settembre 2026 sembra quasi un errore di stampa: 966 vulnerabilità corrette in un solo ciclo di aggiornamenti. Secondo il conteggio di BleepingComputer, è il più grande Patch Tuesday mai pubblicato da Microsoft, con 105 falle classificate come critiche e due vulnerabilità che risultavano già utilizzate in attacchi reali prima della disponibilità della correzione.
Per utenti e amministratori il messaggio immediato è semplice: applicare gli aggiornamenti disponibili secondo le priorità della propria organizzazione. Ma il numero complessivo racconta qualcosa di più interessante. La sicurezza del software sta entrando in una fase in cui la capacità di scoprire problemi cresce molto rapidamente, mentre la capacità delle organizzazioni di testarli, ordinarli per urgenza e distribuire le correzioni rischia di diventare il vero collo di bottiglia.
Novecentosessantasei non significa novecentosessantasei emergenze uguali
Un totale così grande può suggerire che ogni voce richieda la stessa attenzione. Non è così. Le vulnerabilità hanno severità, condizioni di utilizzo e prodotti interessati molto diversi. Il ciclo di settembre comprende centinaia di problemi classificati tra elevazione dei privilegi, esecuzione di codice da remoto, esposizione di informazioni, denial of service, bypass di funzioni di sicurezza e spoofing.
Per questo un team di sicurezza non può limitarsi a contare i CVE. Deve capire quali sistemi possiede, quali sono esposti, quali servizi sono critici e quali vulnerabilità risultano già osservate in campagne reali. La priorità dipende dal contesto.
I due casi più urgenti del mese sono CVE-2026-81963, relativo allo stack di Windows Update, e CVE-2026-85880, relativo a Windows ALPC. Microsoft li considera già sfruttati. Non sono stati pubblicati dettagli completi sulle campagne osservate, ma la presenza di utilizzo reale rende ragionevole considerarli prioritari nei processi di aggiornamento.
Il record può essere anche il segno che vediamo meglio
Un paradosso della cybersecurity è che un aumento delle vulnerabilità pubblicate non significa necessariamente un improvviso peggioramento del software. Può anche significare che vendor e ricercatori sono diventati più efficaci nel trovare problemi che prima sarebbero rimasti invisibili.
BleepingComputer collega il forte aumento del numero di falle individuate anche all’uso crescente di sistemi automatizzati e strumenti di intelligenza artificiale nella ricerca di vulnerabilità. L’AI può generare casi di test, analizzare grandi quantità di codice e segnalare condizioni anomale a una velocità difficilmente raggiungibile manualmente.
Se questa capacità continua a migliorare, potremmo vedere più bollettini record prima di vedere meno bug. È simile a ciò che accade quando uno screening diagnostico diventa molto più sensibile: aumentano i casi rilevati, ma parte dell’aumento deriva dal fatto che il sistema osserva meglio.
Il nuovo collo di bottiglia è il deployment
Scoprire e correggere una falla nel prodotto è soltanto metà del percorso. L’altra metà avviene nelle aziende, negli enti pubblici e nelle infrastrutture che devono installare l’aggiornamento.
Le organizzazioni più grandi non possono sempre aggiornare tutto nello stesso momento. Devono verificare compatibilità con applicazioni interne, sistemi legacy, driver e software industriale. Un aggiornamento distribuito senza test può generare problemi operativi, mentre un ritardo eccessivo lascia aperta una finestra di rischio.
Con centinaia di correzioni nello stesso mese, la disciplina di patch management diventa quindi ancora più importante: inventario accurato degli asset, gruppi pilota, rollout progressivi e capacità di tornare rapidamente alla configurazione precedente se emergono incompatibilità.
L’AI potrebbe servire anche a ordinare le patch
Se l’intelligenza artificiale aumenta la capacità dei vendor di scoprire difetti, è probabile che venga utilizzata sempre di più anche dall’altra parte: per correlare i bollettini con l’inventario aziendale, individuare quali sistemi sono effettivamente interessati e proporre una sequenza di intervento.
Questo è uno degli usi più concreti degli agenti di sicurezza. Un sistema non dovrebbe semplicemente riassumere un bollettino, ma aiutare a tradurlo in una lista operativa specifica per l’organizzazione. La supervisione umana resta fondamentale perché una classificazione sbagliata può portare a rimandare proprio l’aggiornamento più importante.
Windows 10 mostra il problema della coda lunga
Nello stesso ciclo Microsoft ha pubblicato anche l’aggiornamento KB5122878 per le installazioni Windows 10 coperte dalle edizioni LTSC o dal programma Extended Security Updates. È un dettaglio che racconta bene la difficoltà della sicurezza moderna.
Quando un sistema operativo termina il supporto standard non scompare. Può restare per anni su postazioni aziendali, macchine di produzione, terminali e dispositivi dedicati. Il ciclo di vita del software diventa quindi parte della superficie di rischio: più sistemi vecchi restano in esercizio, più l’organizzazione deve spendere per mantenerli aggiornati o sostituirli.
Il numero giusto da misurare non è soltanto quanti bug esistono
Il totale di 966 vulnerabilità è impressionante, ma non dovrebbe trasformarsi in una classifica superficiale sulla qualità del software. Un ecosistema che trova, documenta e corregge i propri problemi può essere più sicuro di uno che pubblica pochi bollettini perché osserva meno.
Le metriche davvero utili sono altre: quanto tempo passa tra la scoperta e la correzione, quanto rapidamente gli aggiornamenti raggiungono i sistemi reali, quante falle vengono sfruttate prima del patching e quanta parte del parco macchine rimane fuori supporto.
Il Patch Tuesday di settembre mostra quindi due realtà contemporaneamente. La superficie del software moderno è enorme e la capacità di analizzarla sta crescendo. Ma ogni nuova capacità di scoperta produce un carico a valle.
Se l’AI renderà quasi industriale la ricerca delle vulnerabilità, la prossima innovazione dovrà rendere altrettanto industriale la capacità di correggerle senza bloccare le organizzazioni.
