Tra le oltre 1.400 falle corrette da Microsoft il 13 ottobre, la CVE-2026-96951 (CVSS 8,8) è già sfruttata: permette a un file malevolo di aggirare la protezione Mark of the Web. Sono coinvolte tutte le versioni supportate di Windows e Windows Server, e la CISA ha dato tre giorni alle agenzie statunitensi per correggere.
Cosa è successo
Il Patch Tuesday di ottobre 2026, pubblicato da Microsoft il 13 ottobre, segna un nuovo record: 1.413 vulnerabilità secondo The Hacker News, 70 delle quali critiche secondo 01net. Una sola è indicata da Microsoft come già sfruttata: la CVE-2026-96951 (CVSS 8,8), un’iniezione di comandi nella shell di Windows che consente di aggirare il Mark of the Web (MOTW). È il contrassegno che Windows applica ai file scaricati o ricevuti via e-mail, ed è ciò che attiva gli avvisi di SmartScreen e la visualizzazione protetta di Office.
La CISA statunitense ha inserito la falla nel suo catalogo delle vulnerabilità sfruttate il giorno stesso e ha dato alle agenzie federali tempo fino al 16 ottobre per correggerla. Microsoft segnala inoltre una falla di .NET Framework, la CVE-2026-108398 (CVSS 8,8), un altro aggiramento di protezione reso pubblico prima della patch ma senza attacchi noti.
Chi è coinvolto e come entrano gli attaccanti
Tutte le versioni supportate sono coinvolte: Windows 10, Windows 11 e Windows Server 2012 R2, 2016, 2019, 2022 e 2025, Server Core compreso. L’attacco non è automatico: secondo Microsoft, la vittima deve aprire un file manipolato ricevuto via e-mail o messaggistica istantanea, oppure seguire un link verso un sito malevolo. Senza il contrassegno MOTW, il file si apre senza il consueto avviso. Lato server, il rischio si concentra sui server Desktop remoto (RDS) e sui server di salto per l’amministrazione, dove si legge la posta e si naviga sul web.
Cosa fare adesso
- Distribuite l’aggiornamento cumulativo di ottobre, prima su postazioni e server RDS, poi ovunque: KB5126646 (Windows Server 2025), KB5126655 (2022), KB5126651 (2019), KB5126868 (2016), KB5126836 (2012 R2), KB5127648 (Windows 11 24H2 e 25H2), KB5126657 (Windows 10 21H2 e 22H2).
- Verificate che sia installato: in PowerShell,
Get-HotFix -Id KB5126655(con il KB della vostra versione), oppure leggete la revisione della build con(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').UBR. Valori minimi: 20348.5761 per Server 2022, 17763.9376 per Server 2019, 26100.33650 per Server 2025. - Filtrate gli allegati sul gateway di posta: collegamenti, script, immagini disco e archivi protetti da password di solito non hanno motivo di arrivare ai vostri utenti.
- Esaminate gli allarmi del vostro EDR degli ultimi giorni alla ricerca di processi insoliti avviati da explorer.exe o Outlook.
La nostra analisi
Aggirare il MOTW non basta da solo a prendere il controllo di un server, ma elimina l’ultimo avviso tra un allegato malevolo e un clic. Con oltre 1.400 correzioni in un mese, l’unica regola sostenibile è dare priorità: le falle già sfruttate si correggono in pochi giorni, partendo dalle macchine su cui si legge la posta.
Fonti
- Microsoft — Security Update Guide, CVE-2026-96951
- CISA — Known Exploited Vulnerabilities Catalog, CVE-2026-96951
- 01net — Plus de 1 400 failles Windows : le nouveau record monstrueux du Patch Tuesday de Microsoft
- The Hacker News — Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug
Come scegliamo, verifichiamo e scriviamo le nostre analisi →
Le credenziali rubate spesso partono da un messaggio di phishing. Avete ricevuto un SMS o un’e-mail sospetti? Verificateli prima di cliccare:
Temi che i tuoi server siano esposti? Il nostro team verifica, aggiorna e monitora infrastrutture Linux e cloud 24/7.
Parla con un esperto I nostri servizi di gestione server →
