exploit di settembre 2026

Cosa è accaduto dal Patch Tuesday di agosto

È stato un mese intenso tra un ciclo e l’altro. Dalla release di Microsoft dell’11 agosto, cinque CVE Microsoft sono state confermate come sfruttate in ambienti reali e Google ha distribuito una correzione di emergenza per Chrome relativa a una sesta zero-day del 2026. Non si tratta di ipotesi: tutte e sei sono oggi presenti nel catalogo Known Exploited Vulnerabilities di CISA e due sono attribuite ad attività riconducibili a Stati-nazione. Prima di esaminare la release di oggi, ecco cosa i team di difesa dovrebbero già aver gestito, o dovrebbero segnalare immediatamente con priorità se non lo hanno ancora fatto:

Microsoft — sfruttate in modo confermato dalla release di agosto compresa in poi:

  • CVE-2026-68820 — Windows Ancillary Function Driver for WinSock (afd.sys), elevazione dei privilegi. Importante, CVSS 7.0. Una falla use-after-free consente a un attaccante autenticato localmente di vincere una race condition ed elevare i privilegi a SYSTEM. Confermata come sfruttata in ambienti reali dalla release di agosto; Check Point Research collega lo sfruttamento attivo alla campagna Operation Dream Job del gruppo Lazarus, con la distribuzione di una nuova build del rootkit kernel FudModule. Patch disponibile: 11 agosto 2026 (aggiunta al KEV di CISA lo stesso giorno della divulgazione). Verificate la distribuzione, se non lo avete già fatto.
  • CVE-2026-33824 — Estensioni del servizio Windows Internet Key Exchange (IKE), esecuzione di codice remoto. Critica, CVSS 9.8. Una vulnerabilità double-free che è wormable e non richiede autenticazione. Patch disponibile: 14 aprile 2026 — questa vulnerabilità è rimasta corretta da oltre quattro mesi prima che CISA ne confermasse lo sfruttamento attivo e la aggiungesse al KEV il 18 agosto 2026. Se è ancora in sospeso in una qualsiasi area del vostro ambiente, è sfruttabile in ambienti reali da settimane, con una correzione presente nella console degli aggiornamenti dalla primavera.
  • CVE-2026-55040 — Microsoft SharePoint Server, bypass delle funzionalità di sicurezza (autenticazione debole). Critica, CVSS 9.1. Patch disponibile: 14 luglio 2026 (Patch Tuesday di luglio). Lo sfruttamento è iniziato entro poche ore dalla pubblicazione dell’analisi tecnica di Rapid7 dell’11 agosto; aggiunta al KEV di CISA il 18 agosto. Questa falla viene inoltre concatenata con CVE-2026-63520 (patch disponibile l’11 agosto 2026 — Patch Tuesday di agosto) per un bypass dell’autenticazione seguito da esecuzione di codice remoto: entrambe le patch sono necessarie per chiudere l’intera catena.
  • CVE-2019-1068 — Microsoft SQL Server, esecuzione di codice remoto. Patch disponibile: 9 luglio 2019. Reinserita nel catalogo KEV di CISA il 26 agosto 2026 sulla base di nuove evidenze di sfruttamento attivo, nonostante sia una CVE di sei anni fa. Un promemoria: “vecchia” non significa “sicura da declassare nella priorità” — questa patch è disponibile da anni.
  • CVE-2026-62832 — Windows User Profile Service, elevazione dei privilegi. Importante, CVSS 7.8. Divulgata pubblicamente prima della disponibilità della patch durante il ciclo di agosto e valutata da Microsoft come “sfruttamento più probabile”. Non è confermata come sfruttata e, al momento della stesura, non è presente nel catalogo KEV di CISA; pertanto non si applica alcuna data di disponibilità della patch KEV. È inclusa qui in considerazione della valutazione di rischio elevato.

Google Chrome — sfruttata in modo confermato dal Patch Tuesday di agosto:

  • CVE-2026-85046 — Motore JavaScript/WebAssembly V8 di Chrome, Type Confusion. Gravità elevata, CVSS 8.8. Contenuti web appositamente creati possono attivare letture/scritture arbitrarie all’interno della sandbox di Chrome, potenzialmente portando all’esecuzione di codice. Google ha confermato l’esistenza di un exploit in ambienti reali al momento dell’applicazione della patch. Patch disponibile: 3 settembre 2026 (Chrome 152.0.7977.82/.83) — si tratta della sesta zero-day di Chrome confermata come sfruttata nel 2026 e della terza che prende di mira specificamente V8. Aggiunta al KEV di CISA: 4 settembre 2026, con scadenza di remediation FCEB fissata al 18 settembre. Microsoft Edge, Brave, Opera e Vivaldi ereditano tutti la falla Chromium sottostante e richiedono aggiornamenti specifici dei rispettivi fornitori.

Se una qualsiasi delle vulnerabilità sopra indicate è ancora in sospeso nel vostro ambiente, trattatela con priorità superiore rispetto a qualsiasi elemento della release odierna: lo sfruttamento confermato ha sempre la precedenza sul punteggio CVSS.

La release Microsoft di oggi

Il Patch Tuesday di Microsoft di settembre 2026 risolve 973 CVE — una delle singole release più ampie dell’anno — incluse 119 classificate come critiche e due zero-day, entrambe confermate come sfruttate in ambienti reali (CVE-2026-85880, CVE-2026-81963).

Vulnerabilità zero-day / sfruttate note (release odierna)

  • CVE-2026-85880 — Overflow del buffer basato su heap in Windows ALPC (Advanced Local Procedure Call), elevazione dei privilegi. Gravità elevata, CVSS 7.8 / 6.8. Consente a un attaccante locale autorizzato con privilegi limitati di elevare i privilegi a SYSTEM senza richiedere alcuna interazione dell’utente. Prodotti interessati: Windows 10, Windows 11, Windows Server 2012, Server 2012 R2, Server 2016, Server 2019, Server 2022 — di fatto l’intero parco desktop e Windows Server supportato. L’avviso Microsoft la indica come sfruttata in ambienti reali. Patch disponibile oggi, 8 settembre 2026.
  • CVE-2026-81963 — Elevazione dei privilegi. CVSS 7.8 / 7.2. Prodotti interessati: Windows 11, Windows Server 2025. Uno sfruttamento riuscito potrebbe consentire a un attaccante di ottenere privilegi SYSTEM. L’avviso Microsoft la indica come sfruttata in ambienti reali. Il raggio d’impatto è sensibilmente più ristretto rispetto a CVE-2026-85880: sono interessate solo le release più recenti del sistema operativo, quindi gli ambienti ancora su Windows 10 o su build Server precedenti non sono esposti a questa specifica falla, pur restando esposti a CVE-2026-85880 sopra descritta. Patch disponibile oggi, 8 settembre 2026.

Vulnerabilità di terze parti

Adobe: Adobe ha pubblicato 10 bollettini di sicurezza tra il 7 e l’8 settembre 2026, risolvendo complessivamente circa 161 CVE. Gli aggiornamenti interessano: Experience Manager (APSB26-98), ColdFusion (APSB26-119), Photoshop (APSB26-130), Illustrator (APSB26-131), Animate (APSB26-132), Photoshop Mobile (APSB26-136), Commerce (APSB26-138 — un secondo bollettino Commerce di routine, distinto dalla correzione zero-day di ieri), Acrobat and Reader (APSB26-141) e Campaign Classic (APSB26-142). La zero-day CVE-2026-75650 in Adobe Commerce (APSB26-146, pubblicata il 7 settembre — esecuzione di codice arbitrario non autenticata, già sfruttata per installare backdoor nei negozi online) resta l’elemento più rilevante e dovrebbe mantenere un richiamo principale dedicato, separato dal gruppo di routine odierno.

Mozilla: Firefox 155, rilasciato il 1° settembre, ha risolto 29 vulnerabilità, 13 delle quali classificate come critiche. Non vi sono evidenze di sfruttamento in ambienti reali per nessuna di esse. Firefox per iOS, rilasciato l’8 settembre, risolve una CVE classificata a bassa gravità.

Chrome/Edge: Chrome 152.0.7977.82/.83 ha risolto complessivamente 12 vulnerabilità nella release del 3 settembre 2026, inclusa CVE-2026-85046 sfruttata attivamente. Gli aggiornamenti per Edge, Brave, Opera e Vivaldi dovrebbero seguire le tempistiche dei rispettivi fornitori.

Aggiornamento di sicurezza Ivanti di settembre 2026

Ivanti ha divulgato oggi, 8 settembre 2026, 10 CVE in tre prodotti: Endpoint Manager Mobile (EPMM), Neurons for ITSM e Sentry. Ivanti dichiara di non avere evidenze di sfruttamento attivo di alcuna di queste vulnerabilità prima della divulgazione.

  • Ivanti Neurons for ITSM ha risolto otto CVE. I clienti Cloud/SaaS erano già protetti: Ivanti ha applicato la correzione a tutti gli ambienti cloud il 9 agosto 2026. Gli amministratori on-premise dovrebbero applicare subito la Security Patch di settembre 2026 per la propria versione tramite Ivanti License Server (ILS); la versione on-premise 2026.2 includerà la correzione integrata al rilascio, previsto per il 21 settembre 2026.
  • Ivanti Endpoint Manager Mobile (EPMM) ha risolto una CVE. Sono interessate le versioni 12.9.0.1 e precedenti, 12.8.0.3 e precedenti, e tutte le build precedenti alla 12.10.0.0. Correzione disponibile nelle versioni 12.10.0.0, 12.9.0.2 e 12.8.0.4.
  • Ivanti Sentry ha risolto una CVE. Sono interessate le versioni R10.8.1, R10.7.2, R10.6.3 e precedenti. Correzione disponibile nelle versioni R10.8.2, R10.7.3 e R10.6.4. Rilevante anche per le distribuzioni Sentry gestite tramite EPMM e Neurons for MDM.

Elenco delle attività per gli aggiornamenti di settembre

  1. Applicate immediatamente la patch per Adobe Commerce (CVE-2026-75650), poiché è attualmente oggetto di sfruttamento attivo, indipendentemente dal Patch Tuesday di oggi.
  2. Verificate che le cinque CVE Microsoft e la CVE di Chrome indicate nella sezione “dal Patch Tuesday di agosto” siano state risolte nel vostro ambiente: precedono la release di oggi, ma restano i rischi in sospeso sfruttati con il più alto livello di certezza.
  3. Applicate subito le patch a causa dello sfruttamento attivo: CVE-2026-85880 interessa l’intero parco Windows (10, 11, Server 2012–2022) — assegnatele priorità in modo esteso. CVE-2026-81963 ha un perimetro più ristretto (solo Windows 11 e Server 2025), ma non è meno urgente per gli ambienti che eseguono tali build. Entrambe sono zero-day confermate come sfruttate nella release odierna e hanno priorità rispetto al resto del pacchetto Microsoft.
  4. Distribuite gli aggiornamenti del sistema operativo Windows e di Office per risolvere la maggior parte delle 973 CVE rimanenti; con 119 critiche questo mese, date priorità ai sistemi esposti a Internet e ai sistemi utente.
  5. Date priorità agli aggiornamenti dei browser (Chrome, Firefox, Edge) con cadenza settimanale, indipendentemente dalla gravità.