Il Patch Tuesday di settembre 2026 è arrivato con un carico insolitamente pesante. Microsoft ha pubblicato correzioni per 973 vulnerabilità, un volume che supera nettamente i mesi precedenti dello stesso anno, e tra queste spicca una falla critica nel servizio Netlogon che riguarda direttamente i domain controller Active Directory. Il bollettino, uscito l’8 settembre 2026, include anche due zero-day già sfruttati attivamente, subito aggiunti al catalogo Known Exploited Vulnerabilities della CISA. Per i team IT italiani ed europei, che gestiscono infrastrutture Windows ancora fortemente dipendenti da Active Directory per l’autenticazione, la finestra di settembre si preannuncia come una delle più impegnative dell’anno.
Cosa è successo con il Patch Tuesday di settembre 2026
Come ogni secondo martedì del mese, Microsoft ha rilasciato il suo pacchetto cumulativo di aggiornamenti di sicurezza. Il ciclo di settembre 2026 copre 973 vulnerabilità, di cui 113 classificate come critiche e 82 riconducibili a difetti di remote code execution (RCE), la categoria più pericolosa perché consente a un attaccante di eseguire codice arbitrario senza bisogno di credenziali o interazione dell’utente, secondo l’analisi tecnica pubblicata dal team Talos di Cisco. Il numero segna un salto netto rispetto ai mesi precedenti dello stesso anno e riporta l’attenzione sul fatto che la superficie di attacco Windows continua ad allargarsi, non a restringersi.
Tra le centinaia di CVE corrette, due elementi meritano priorità assoluta nelle finestre di manutenzione: la falla RCE critica nel servizio Netlogon (CVE-2026-72982, CVSS 9,8) e i due difetti già sfruttati in attacchi reali prima ancora della pubblicazione della patch. A questi si aggiungono tre vulnerabilità in Windows Hyper-V che permettono di uscire dal perimetro di una macchina virtuale e compromettere l’host fisico, un rischio che cresce insieme alla densità di virtualizzazione nei data center europei.
CVE-2026-72982: la falla critica in Windows Netlogon
CVE-2026-72982 è una vulnerabilità di remote code execution nel servizio Netlogon, con punteggio CVSS 9,8 su 10. Netlogon gestisce l’instaurazione del canale sicuro tra i membri di un dominio Windows e i domain controller: è il protocollo che, in pratica, dice a un computer “sì, appartieni a questo dominio” e viceversa. Una falla in questo componente non colpisce un singolo endpoint isolato ma il livello di fiducia su cui si basa l’intera infrastruttura di autenticazione aziendale.
Il rischio pratico è quello del movimento laterale su larga scala. Un attaccante che riesce a sfruttare la falla non deve compromettere ogni singola macchina della rete: gli basta colpire il servizio che ogni altro sistema del dominio considera affidabile per default. È lo stesso principio alla base di Zerologon, la vulnerabilità Netlogon scoperta nel 2020 dai ricercatori di Secura, che permetteva di ottenere il controllo completo di un domain controller in pochi secondi con un CVSS di 10,0. CVE-2026-72982 riapre lo stesso fronte, sei anni dopo, su un servizio che molte aziende considerano ormai “risolto” proprio per via di quel precedente.
Le due vulnerabilità zero-day già sotto attacco
Oltre alle falle corrette in via preventiva, il bollettino di settembre include due zero-day per cui Microsoft ha confermato lo sfruttamento attivo prima del rilascio della patch. Entrambe sono state aggiunte al catalogo Known Exploited Vulnerabilities della CISA l’8 settembre 2026.
CVE-2026-81963 colpisce Windows Update Stack, il componente che gestisce l’installazione degli aggiornamenti su ogni macchina Windows in circolazione. Ha un CVSS di 7,8 e sfrutta una risoluzione impropria dei collegamenti (link-following) per far salire un attaccante locale, con privilegi bassi, fino a SYSTEM, senza bisogno di alcuna interazione da parte dell’utente. È il tipo di bug che i gruppi ransomware amano incorporare nei loro toolkit post-compromissione, perché converte un accesso iniziale ottenuto tramite phishing o furto di credenziali in un controllo completo della macchina.
CVE-2026-85880 riguarda invece Windows Advanced Local Procedure Call (ALPC), anch’essa con CVSS 7,8. Anche in questo caso un attaccante che ha già ottenuto esecuzione di codice, anche a basso privilegio, può sfruttare la falla per completare la scalata locale. Entrambe le vulnerabilità richiedono un accesso iniziale già avvenuto: il pericolo non sta nell’ingresso in rete ma nella rapidità con cui, una volta dentro, un attaccante può ottenere il controllo totale della macchina compromessa.
Hyper-V: quando la falla esce dalla macchina virtuale
Tre vulnerabilità in Windows Hyper-V completano il quadro delle criticità del mese. CVE-2026-69603 e CVE-2026-80083, entrambe con CVSS 8,8, permettono l’esecuzione di codice arbitrario sull’host attraverso, rispettivamente, un buffer overflow basato su heap innescato da un payload hypercall malformato e un dereferenziamento di puntatore non attendibile raggiungibile da un’applicazione guest. In pratica, un attaccante che controlla una singola macchina virtuale può forzare il confine di isolamento e compromettere l’intero host fisico, incluse tutte le altre VM che vi girano sopra.
CVE-2026-72961, CVSS 8,2, sfrutta invece un buffer overflow nella gestione dello stato del Virtual TPM per scalare da amministratore dell’host fino ai privilegi Virtual Trust Level 1 (VTL1), il livello riservato ai componenti di sicurezza più sensibili della piattaforma. Per gli ambienti multi-tenant, quelli tipici di cloud privati e provider di hosting europei, questa classe di bug è la più temuta in assoluto perché azzera il valore stesso della segmentazione tra clienti diversi ospitati sullo stesso hardware.
Le altre RCE critiche da non ignorare
Netlogon e Hyper-V catturano i titoli, ma il bollettino di settembre contiene una lista lunga di RCE con CVSS 9,8, il punteggio massimo praticamente raggiungibile per una falla di questo tipo. Tra queste: CVE-2026-69730 in Windows DNS Server, una falla che può permettere l’esecuzione di codice arbitrario su server DNS spesso esposti direttamente su Internet o accessibili da segmenti di rete meno protetti. Il bollettino segnala inoltre criticità 9,8 in Windows HTTP Print Provider, Windows Shell, Internet Connection Sharing, Skype for Business, Microsoft Failover Cluster e nel servizio Routing and Remote Access (RRAS).
La tabella seguente riassume le vulnerabilità più rilevanti del ciclo di settembre, con CVE, componente colpito, tipo di impatto e stato di sfruttamento noto al 9 settembre 2026.
| CVE | Componente | Tipo | CVSS | Stato |
|---|---|---|---|---|
| CVE-2026-72982 | Windows Netlogon | RCE | 9,8 | Critica, sfruttamento non confermato |
| CVE-2026-69730 | Windows DNS Server | RCE | 9,8 | Critica, sfruttamento non confermato |
| CVE-2026-81963 | Windows Update Stack | Elevation of Privilege | 7,8 | Zero-day, sfruttata attivamente, in CISA KEV |
| CVE-2026-85880 | Windows ALPC | Elevation of Privilege | 7,8 | Zero-day, sfruttata attivamente, in CISA KEV |
| CVE-2026-69603 | Windows Hyper-V | RCE (guest-to-host) | 8,8 | Critica |
| CVE-2026-80083 | Windows Hyper-V | RCE (guest-to-host) | 8,8 | Critica |
| CVE-2026-72961 | Windows Hyper-V (vTPM) | Elevation of Privilege | 8,2 | Critica |
Perché Netlogon e Kerberos spaventano di più i team di sicurezza
Le vulnerabilità nei protocolli che reggono l’autenticazione di dominio hanno un peso diverso rispetto a un bug in un’applicazione desktop qualsiasi. Netlogon e Kerberos sono i due pilastri su cui poggia la fiducia interna di una rete Windows: il primo gestisce il canale sicuro tra client e domain controller, il secondo emette i ticket che ogni risorsa di dominio accetta come prova d’identità. Compromettere uno dei due significa ottenere un punto d’appoggio dentro il livello che tutti gli altri servizi considerano già verificato, senza dover forzare ogni singolo sistema separatamente.
Il precedente di Zerologon
Il paragone con Zerologon (CVE-2020-1472) non è casuale. Nel 2020 quella falla, scoperta dai ricercatori olandesi di Secura, permetteva di azzerare la password del domain controller e ottenerne il controllo completo in pochi minuti, con un CVSS di 10,0. Da allora Netlogon è diventato uno dei servizi più monitorati dai team di sicurezza, ma CVE-2026-72982 dimostra che il componente resta un bersaglio attivo di ricerca per chi cerca scorciatoie verso il controllo del dominio.
Il rischio per Active Directory in Europa
La maggior parte delle medie e grandi aziende europee, Italia inclusa, gestisce ancora l’identità interna tramite Active Directory on-premise o in configurazione ibrida con Entra ID. Una falla RCE critica in Netlogon, unita a due elevation of privilege già sfruttate nella stessa finestra di patch, crea uno scenario in cui un attacco può partire da un endpoint compromesso e arrivare, in poche mosse, al controllo del dominio. È esattamente la catena che i gruppi ransomware più organizzati, da Qilin ad Akira, hanno dimostrato di saper sfruttare quando trovano una falla di questo tipo prima che venga corretta su vasta scala.
Patch Tuesday 2026: il trend dei mesi precedenti a confronto
Mettere in fila i bollettini pubblicati nel corso del 2026 aiuta a capire la dimensione del fenomeno. Il volume di vulnerabilità corrette da Microsoft ogni mese è cresciuto in modo marcato, un segnale che riflette sia l’espansione della superficie software Microsoft (cloud, AI, componenti di terze parti integrati) sia un affinamento delle tecniche di ricerca delle vulnerabilità, usate sia da chi difende sia da chi attacca.
| Mese 2026 | CVE totali | Critiche | Zero-day sfruttati |
|---|---|---|---|
| Maggio | 118 | N/D | N/D |
| Giugno | 208 | N/D | 3 |
| Agosto | 751 | 108 | N/D |
| Settembre | 973 | 113 | 2 |
Il salto da 118 CVE a maggio a 973 a settembre non significa necessariamente che Windows sia diventato quattro volte meno sicuro in quattro mesi. Riflette in parte l’inclusione crescente di prodotti cloud e componenti open source nel perimetro dei bollettini Microsoft, e in parte l’aumento delle segnalazioni provenienti da programmi di bug bounty e ricerca indipendente. Resta però il fatto che il carico di lavoro per i team di patch management, negli ultimi mesi, è più che raddoppiato rispetto alla prima metà dell’anno.
Non solo Microsoft: la settimana nera per Cisco e SonicWall
Il ciclo di patch di settembre non ha riguardato solo Redmond. Nella stessa finestra, Cisco ha pubblicato correzioni per sette vulnerabilità critiche in IOS XR (CVE-2026-20274, 20275, 20276, 20278, 20279, 20280), tutte con CVSS 9,8. Nello stesso periodo, secondo il report di Check Point Research, SonicWall ha corretto due falle nei gateway SMA 1000: una SSRF pre-autenticazione con CVSS 10,0 e una RCE post-autenticazione, entrambe già sfruttate come zero-day.
La coincidenza temporale non è una novità isolata: settembre 2026 conferma un pattern osservato più volte nel corso dell’anno, in cui più vendor enterprise rilasciano correzioni critiche nella stessa settimana, mettendo sotto pressione contemporanea i team di patch management che devono gestire firewall, hypervisor, controller di dominio e networking core tutti insieme, spesso con finestre di manutenzione limitate nei weekend.
L’impatto sul mercato enterprise italiano ed europeo
Per le aziende italiane, il bollettino di settembre arriva in un momento in cui la pressione normativa sulla gestione delle vulnerabilità è già alta. La direttiva NIS2, recepita a livello nazionale con obblighi di segnalazione entro tempi stretti per gli incidenti significativi, spinge le organizzazioni soggette a monitorare con più attenzione proprio le vulnerabilità che finiscono nel catalogo CISA KEV, perché rappresentano lo standard de facto anche per le valutazioni di rischio europee, incluso il nuovo database ENISA EUVD.
Le due vulnerabilità Windows già sfruttate attivamente questo mese, CVE-2026-81963 e CVE-2026-85880, comportano un obbligo di remediation prioritaria per le agenzie federali statunitensi soggette alle direttive CISA, ma vengono trattate come segnale di rischio elevato anche dai team di sicurezza europei che seguono lo stesso catalogo come riferimento operativo. Per i settori critici individuati dalla NIS2, energia, trasporti, sanità, servizi finanziari, la finestra realistica per applicare la patch prima che compaia un exploit pubblico si misura ormai in giorni, non in settimane.
Cosa devono fare i team IT adesso
La priorità immediata è verificare lo stato di applicazione delle patch di settembre sui domain controller e sugli host Hyper-V, i due gruppi di sistemi più esposti dal bollettino di questo mese. Un controllo rapido dello stato degli aggiornamenti installati su un endpoint Windows può essere eseguito con PowerShell.
# Verifica gli aggiornamenti di sicurezza installati a settembre 2026
Get-HotFix | Where-Object { $_.InstalledOn -ge (Get-Date "2026-09-08") } | Format-Table -AutoSize
# Controlla lo storico delle patch installate sull'host
Get-CimInstance -ClassName Win32_QuickFixEngineering | Sort-Object InstalledOn -Descending | Select-Object -First 10Oltre all’installazione della patch, vale la pena rivedere la segmentazione di rete attorno ai domain controller, limitare l’esposizione diretta dei server DNS interni e verificare che il monitoring degli eventi di autenticazione Kerberos e Netlogon sia attivo e correlato in un SIEM. Per gli ambienti di virtualizzazione, la priorità va agli host Hyper-V che ospitano workload multi-tenant o VM esposte a utenti esterni, dove il rischio di guest-to-host escape è concreto.
Le previsioni per i prossimi mesi
- Ci aspettiamo un aumento delle scansioni opportunistiche contro server DNS e Netlogon esposti nelle settimane successive alla pubblicazione della patch, un pattern già visto dopo Zerologon nel 2020.
- È probabile che almeno una delle vulnerabilità Hyper-V venga integrata in exploit kit venduti su forum underground entro la fine del 2026, vista la crescente densità di ambienti virtualizzati multi-tenant in Europa.
- Il volume dei bollettini Microsoft difficilmente tornerà ai livelli di inizio 2026: la tendenza a includere componenti cloud e AI nel perimetro delle patch continuerà a spingere il numero di CVE mensili verso l’alto.
- Le agenzie europee, ACN in Italia inclusa, dovrebbero rafforzare l’allineamento con il catalogo CISA KEV per accelerare le finestre di remediation obbligatoria previste dalla NIS2.
- Ci aspettiamo che altri vendor enterprise, sulla scia di Cisco e SonicWall, concentrino i propri annunci critici nella stessa finestra di metà mese, rendendo i cicli di patch trimestrali sempre più affollati per i team IT.
Il contesto NIS2 e gli obblighi di segnalazione
Le organizzazioni italiane rientranti nel perimetro NIS2 devono valutare ogni vulnerabilità critica alla luce degli obblighi di notifica introdotti dalla direttiva, che prevede segnalazioni preliminari entro 24 ore e un rapporto più dettagliato entro 72 ore in caso di incidente significativo collegato a uno sfruttamento attivo. Con due zero-day Windows già in circolazione questo mese e una falla RCE critica in un componente centrale come Netlogon, i responsabili della sicurezza dovrebbero considerare prioritaria non solo l’installazione della patch, ma anche la verifica retrospettiva di eventuali segnali di compromissione sui domain controller esposti prima dell’8 settembre 2026.
Il collegamento tra bollettini Patch Tuesday e obblighi normativi europei è diventato via via più stretto nel corso del 2026: sempre più aziende usano il catalogo CISA KEV, insieme al database ENISA EUVD, come base per le proprie valutazioni di rischio interno, anche in assenza di un obbligo legale diretto a farlo.
Domande frequenti
Cos’è CVE-2026-72982?
È una vulnerabilità critica di remote code execution nel servizio Windows Netlogon, con CVSS 9,8, corretta nel Patch Tuesday dell’8 settembre 2026. Riguarda il canale sicuro tra client e domain controller Active Directory.
Quante vulnerabilità ha corretto Microsoft a settembre 2026?
973 in totale, di cui 113 classificate come critiche e 82 riconducibili a remote code execution, secondo l’analisi tecnica di Talos.
Quali vulnerabilità di settembre sono già sfruttate attivamente?
CVE-2026-81963 (Windows Update Stack) e CVE-2026-85880 (Windows ALPC), entrambe con CVSS 7,8 ed entrambe aggiunte al catalogo CISA Known Exploited Vulnerabilities l’8 settembre 2026.
Le vulnerabilità Hyper-V permettono di uscire dalla macchina virtuale?
Sì. CVE-2026-69603 e CVE-2026-80083 permettono a un attaccante che controlla una VM guest di eseguire codice sull’host fisico, mentre CVE-2026-72961 permette la scalata di privilegi fino al livello VTL1 tramite una falla nella gestione del vTPM.
Netlogon 2026 è collegata a Zerologon?
Non si tratta della stessa vulnerabilità, ma dello stesso servizio. Zerologon (CVE-2020-1472, CVSS 10,0) fu scoperta nel 2020 dai ricercatori di Secura e permetteva di azzerare la password di un domain controller. CVE-2026-72982 riguarda lo stesso componente Netlogon, sei anni dopo.
Come faccio a sapere se un dispositivo Windows ha già la patch?
Con PowerShell, il comando Get-HotFix oppure Get-CimInstance -ClassName Win32_QuickFixEngineering mostra le patch installate con relativa data, da confrontare con la data di rilascio dell’8 settembre 2026.
Le aziende italiane sotto NIS2 devono segnalare queste vulnerabilità?
La direttiva NIS2 impone obblighi di notifica in caso di incidente significativo collegato allo sfruttamento di una vulnerabilità, con segnalazione preliminare entro 24 ore. Non è la vulnerabilità in sé a dover essere segnalata, ma un eventuale incidente che ne derivi.
Cosa hanno corretto Cisco e SonicWall nella stessa settimana?
Cisco ha rilasciato patch per sette vulnerabilità critiche in IOS XR (CVSS 9,8), mentre SonicWall ha corretto due zero-day nei gateway SMA 1000, una SSRF pre-autenticazione con CVSS 10,0 e una RCE post-autenticazione, secondo Check Point Research.
