L’11 agosto 2026 Microsoft ha rilasciato il suo Patch Tuesday più corposo dell’anno: 67 aggiornamenti che coprono 751 CVE, di cui 108 classificate come critiche. Lo stesso giorno, a poche ore di distanza, il Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha aggiunto al suo catalogo Known Exploited Vulnerabilities (KEV) una falla SQL injection in Metabase con punteggio CVSS 10.0, il massimo possibile sulla scala. Nel giro di una settimana si sono sommate altre nove vulnerabilità critiche sfruttate attivamente, da Progress LoadMaster a JetBrains TeamCity, fino a due bug distinti in N-able N-central. Per i team di sicurezza europei, Italia compresa, agosto 2026 si è trasformato in uno dei mesi di patching più intensi degli ultimi anni.
Cosa è successo: il Patch Tuesday di agosto 2026 in cifre
Il ciclo di aggiornamenti Microsoft del secondo martedì del mese, noto come Patch Tuesday, cade quest’anno l’11 agosto. Secondo l’analisi pubblicata da Senserva, l’azienda ha distribuito 67 update che correggono complessivamente 751 CVE. Di queste, 108 sono classificate Critical, la fascia più alta di gravità nel sistema Microsoft. Almeno una vulnerabilità, la CVE-2026-55040 in SharePoint Server, risultava già sfruttata attivamente al momento del rilascio della patch.
Il numero non arriva isolato. Nella stessa settimana CISA ha aggiunto tre nuove voci al catalogo KEV, tra cui la già citata falla Metabase e una vulnerabilità in Cisco Secure Firewall ASA e FTD con punteggio 8.6. Il catalogo KEV, secondo il tracker pubblico Cyber Trackr, contava 1.665 voci al 14 agosto 2026. Ogni voce rappresenta una vulnerabilità con prove concrete di sfruttamento nel mondo reale, non una semplice ipotesi teorica.
751 CVE, 108 critiche: il dettaglio dell’aggiornamento Microsoft
Un volume così alto di correzioni in un solo ciclo mensile cambia le priorità di qualsiasi reparto IT. Con 108 vulnerabilità classificate come critiche, un team di sicurezza medio non può testarle e distribuirle tutte nello stesso weekend. Serve un criterio di priorità basato sul rischio reale, non sul semplice punteggio CVSS.
La CVE-2026-55040, la falla in SharePoint Server con punteggio 9.1 descritta come “Security Feature Bypass Vulnerability”, merita la priorità assoluta. Non è una vulnerabilità teorica: secondo i dati raccolti da Senserva, risultava già in fase di sfruttamento al momento della pubblicazione della patch. SharePoint resta uno dei bersagli preferiti dai gruppi ransomware in Europa, perché ospita spesso documenti finanziari e credenziali interne in chiaro nei file condivisi.
Per un’azienda italiana con infrastruttura Microsoft on-premise, la sequenza corretta è testare prima le patch che toccano SharePoint, Exchange e i servizi esposti a internet, poi passare ai driver di sistema come il già citato WinSock, e infine alle componenti client meno esposte. Rimandare tutto a un’unica finestra di manutenzione mensile, come fanno ancora molte PMI, aumenta il rischio di lasciare scoperta per settimane una falla già nota agli attaccanti.
CVE-2026-55040: la falla SharePoint già sfruttata
Al netto del volume complessivo, è la CVE-2026-55040 a definire l’urgenza reale di questo ciclo di patching. Si tratta di un bypass della funzione di sicurezza in Microsoft SharePoint Server, con punteggio CVSS 9.1. La combinazione di gravità alta e sfruttamento attivo la colloca automaticamente tra le priorità assolute per qualsiasi reparto IT che gestisca istanze SharePoint esposte, sia on-premise sia in ambienti ibridi.
SharePoint ha già una storia recente di vulnerabilità critiche sfruttate su larga scala, con campagne che nel 2025 hanno colpito enti governativi e aziende in tutto il mondo. La ripetizione dello schema, una falla critica seguita da exploitation quasi immediata, conferma che i sistemi di collaborazione documentale restano un obiettivo prioritario per i gruppi di attacco, sia criminali sia sponsorizzati da stati.
Il catalogo CISA KEV cresce ancora ad agosto 2026
Il catalogo KEV nasce nel novembre 2021 sotto la Binding Operational Directive 22-01, che obbliga le agenzie federali statunitensi a correggere entro scadenze fisse ogni vulnerabilità inserita nella lista. Cinque anni dopo, il catalogo è diventato il riferimento globale de facto per stabilire quali falle meritano priorità immediata, anche fuori dagli Stati Uniti. Le aziende europee lo consultano regolarmente proprio perché segnala sfruttamento confermato, non rischio teorico.
Metabase CVE-2026-72898, il record CVSS 10.0
L’11 agosto 2026 CISA ha aggiunto al catalogo la CVE-2026-72898, una SQL injection in Metabase, la piattaforma open source di business intelligence usata da migliaia di aziende per creare dashboard e query sui propri dati. Il punteggio CVSS è 10.0, il massimo teorico della scala, secondo quanto riportato da Security Affairs. La scadenza fissata da CISA per la remediation delle agenzie federali era il 14 agosto 2026, appena tre giorni dopo l’aggiunta.
Un punteggio 10.0 significa che l’attaccante non ha bisogno di credenziali, non serve interazione dell’utente e l’impatto copre riservatezza, integrità e disponibilità del sistema in modo totale. Per uno strumento di analytics che spesso si collega direttamente a database di produzione, la combinazione è la peggiore possibile: chiunque riesca a raggiungere l’interfaccia web può potenzialmente estrarre l’intero contenuto del database sottostante.
Progress LoadMaster e JetBrains TeamCity, altri due bersagli critici
Il 7 agosto CISA aveva già aggiunto la CVE-2026-8037, una command injection in Progress LoadMaster con CVSS 9.8, che permette esecuzione di comandi da remoto senza autenticazione sull’appliance di bilanciamento del carico. Due giorni prima, il 5 agosto, era toccato a JetBrains TeamCity con la CVE-2026-63077, una deserializzazione non sicura che porta a remote code execution, anch’essa con punteggio 9.8, riportata da Hackerstorm.
TeamCity in particolare preoccupa i team DevOps: è un server di build e integrazione continua, spesso collegato direttamente ai repository di codice sorgente e alle pipeline di deployment. Una RCE su TeamCity non compromette solo il server, ma apre la strada a un attacco alla catena di fornitura del software, lo stesso schema che ha colpito SolarWinds nel 2020 e decine di altre organizzazioni negli anni successivi.
N-able N-central e Cisco: il filo rosso degli attacchi in corso
Il 4 agosto CISA ha aggiunto due vulnerabilità collegate in N-able N-central, piattaforma di gestione remota usata da migliaia di provider di servizi IT gestiti (MSP) in tutto il mondo, Italia inclusa. La CVE-2026-18556 è un bypass di autenticazione con CVSS 8.2, mentre la CVE-2026-18577 è una patch incompleta della stessa falla, segno che il primo intervento del fornitore non aveva chiuso davvero il problema, secondo quanto documentato da The Hacker News.
Colpire un MSP significa colpire potenzialmente decine di clienti a valle con un solo accesso riuscito, lo schema definito “one-to-many” dagli analisti di risposta agli incidenti. È lo stesso motivo per cui, nella stessa finestra temporale, CISA ha aggiunto anche la CVE-2026-20349, una falla di ispezione heap in Cisco Secure Firewall ASA e FTD con CVSS 8.6, e la CVE-2026-20316, un bypass di autenticazione basato su credenziali statiche nel Cisco Secure Firewall Management Center, quest’ultima aggiunta già il 29 luglio.
Perché l’Italia e l’Europa sono nel mirino
Nessuna delle vulnerabilità di questo ciclo colpisce esclusivamente utenti statunitensi. Metabase, TeamCity, i firewall Cisco e le appliance N-able sono prodotti diffusi a livello globale, e le aziende italiane li usano tanto quanto quelle americane. Il catalogo KEV segnala lo sfruttamento osservato negli Stati Uniti, ma gli stessi exploit circolano rapidamente su forum e marketplace criminali che non conoscono confini nazionali.
A livello europeo, l’ENISA gestisce dal maggio 2025 la propria European Vulnerability Database (EUVD), nata nel contesto del Cyber Resilience Act e della direttiva NIS2, secondo quanto confermato da SecurityWeek. A differenza del KEV americano, l’EUVD non impone scadenze di rimedio vincolanti, ma aggrega informazioni su exploitation status e misure di mitigazione per l’intero mercato ICT europeo. Per le aziende soggette a NIS2, incrociare le due fonti è ormai una prassi consigliata dai consulenti di sicurezza.
L’impatto economico: budget di patching, cyber-assicurazioni e team SOC
Un Patch Tuesday da 751 CVE non è solo un problema tecnico, ha anche un costo operativo diretto. Ogni vulnerabilità critica richiede test di regressione prima del deployment, soprattutto negli ambienti enterprise dove un aggiornamento mal testato può bloccare processi produttivi interi. Con 108 CVE critiche in un solo mese, i team SOC devono ridefinire le priorità quasi in tempo reale, spesso rinunciando ad altre attività pianificate.
Le polizze di cyber-assicurazione osservano con attenzione crescente il tempo medio di remediation delle aziende assicurate. Un’organizzazione che lascia scoperta per settimane una falla già presente nel catalogo KEV rischia clausole di esclusione in caso di sinistro legato proprio a quella vulnerabilità. Per i fornitori di servizi gestiti colpiti dalle falle N-able, il rischio si moltiplica: un incidente in un solo MSP può generare richieste di risarcimento da parte di più clienti contemporaneamente.
Contesto storico: la crescita del catalogo KEV dal 2021 a oggi
Quando CISA ha lanciato il catalogo KEV nel novembre 2021, l’obiettivo era circoscritto: dare alle agenzie federali statunitensi un elenco operativo di falle da correggere con priorità assoluta, superando i punteggi CVSS generici spesso poco utili nella pratica. Cinque anni dopo, il catalogo è cresciuto fino a superare le 1.600 voci, con nuove aggiunte quasi ogni settimana, come mostrano i bollettini raccolti da BreachDocket.
Il ritmo di crescita racconta più di ogni singolo numero: a giugno 2026 il catalogo contava circa 1.623 voci, a metà agosto era già salito a 1.665. In due mesi si sono aggiunte oltre 40 vulnerabilità sfruttate attivamente, una media che pochi anni fa sarebbe sembrata impensabile. Il fenomeno non riflette necessariamente software più fragile, ma anche una capacità di rilevamento e segnalazione degli exploit molto più rapida rispetto al passato.
CISA KEV contro gli altri modelli di divulgazione delle vulnerabilità
Non tutti i sistemi di tracciamento delle vulnerabilità funzionano allo stesso modo. Il confronto tra il modello statunitense e quello europeo aiuta a capire perché sempre più aziende italiane guardano a entrambe le fonti invece di limitarsi a una sola.
| Caratteristica | CISA KEV (Stati Uniti) | EUVD (Unione Europea) |
|---|---|---|
| Ente responsabile | CISA | ENISA |
| Anno di lancio | 2021 | 2025 |
| Base normativa | Binding Operational Directive 22-01 | Cyber Resilience Act e direttiva NIS2 |
| Obbligo di rimedio | Sì, con scadenze fisse per le agenzie federali USA | No, solo informazione aggregata |
| Criterio di inclusione | Sfruttamento attivo confermato | Vulnerabilità ICT note, con stato di exploitation quando disponibile |
| Voci nel catalogo (agosto 2026) | 1.665 | Dato aggregato da più fonti, incluso CVE |
La differenza più concreta riguarda l’obbligo. Il KEV americano vincola solo le agenzie federali statunitensi, ma nella pratica è diventato lo standard di riferimento anche per il settore privato globale. L’EUVD europeo, più giovane, punta invece sull’aggregazione di fonti multiple senza imporre scadenze, un approccio più flessibile ma anche meno immediato quando serve stabilire priorità operative rapide.
Le vulnerabilità critiche di agosto 2026 a confronto
Per dare un quadro operativo immediato, ecco l’elenco delle vulnerabilità aggiunte al catalogo CISA KEV tra fine luglio e metà agosto 2026, con i dati raccolti da Security Affairs, The Hacker News, Hackerstorm e i bollettini CISA riportati da CyberExperts e RoboShadow.
| CVE | Prodotto | CVSS | Data aggiunta al KEV | Scadenza remediation |
|---|---|---|---|---|
| CVE-2026-20316 | Cisco Secure Firewall Management Center | 5.3 | 29 luglio 2026 | 1 agosto 2026 |
| CVE-2026-18556 | N-able N-central | 8.2 | 4 agosto 2026 | 7 agosto 2026 |
| CVE-2026-18577 | N-able N-central | 8.2 | 4 agosto 2026 | 7 agosto 2026 |
| CVE-2026-34486 | Apache Tomcat | 9.8 | 4 agosto 2026 | 7 agosto 2026 |
| CVE-2026-9198 | IBM Langflow | n.d. | 4 agosto 2026 | n.d. |
| CVE-2026-63077 | JetBrains TeamCity | 9.8 | 5 agosto 2026 | 8 agosto 2026 |
| CVE-2026-8037 | Progress LoadMaster | 9.8 | 7 agosto 2026 | n.d. |
| CVE-2026-15972 | HashiCorp Consul | 7.5 | 7 agosto 2026 | n.d. |
| CVE-2026-20349 | Cisco Secure Firewall ASA/FTD | 8.6 | 11 agosto 2026 | 14 agosto 2026 |
| CVE-2026-72898 | Metabase | 10.0 | 11 agosto 2026 | 14 agosto 2026 |
| CVE-2026-68820 | Microsoft Windows (driver WinSock) | n.d. | 11 agosto 2026 | 25 agosto 2026 |
Undici vulnerabilità in meno di tre settimane, con scadenze che in alcuni casi lasciano meno di 72 ore per la remediation. È un ritmo che mette sotto pressione anche i team di sicurezza più strutturati, figurarsi le PMI italiane che spesso gestiscono il patching con risorse limitate e senza un vulnerability management dedicato.
Come proteggersi: la checklist per i team IT
Di fronte a un volume simile di correzioni, l’approccio “patch tutto entro il weekend” non regge più. Una sequenza di priorità basata sul rischio reale funziona meglio di un elenco piatto ordinato per data di rilascio.
- Verificare per prime le CVE già presenti nel catalogo KEV, perché hanno sfruttamento confermato, non solo teorico.
- Dare priorità ai sistemi esposti direttamente a internet: SharePoint, firewall Cisco, appliance LoadMaster, server TeamCity raggiungibili dall’esterno.
- Isolare temporaneamente gli strumenti di business intelligence come Metabase se non è possibile applicare subito la patch della CVE-2026-72898.
- Controllare i log di accesso di N-able N-central per segnali di compromissione retroattiva, non solo bloccare l’exploit futuro.
- Incrociare il proprio inventario software con il catalogo KEV e con l’EUVD europea almeno una volta a settimana, non solo al momento del Patch Tuesday mensile.
- Documentare ogni deroga alla finestra di patching standard, utile sia per audit interni sia per le clausole delle polizze cyber.
Per chi vuole automatizzare il controllo, CISA pubblica il catalogo KEV anche in formato CSV aperto, interrogabile direttamente da script di inventario:
curl -s https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.csv | grep "CVE-2026-72898"Un controllo del genere, integrato in una pipeline di CI/CD o in uno script schedulato, permette di sapere in pochi secondi se un CVE presente nel proprio inventario software è già finito nella lista di sfruttamento attivo, senza attendere il bollettino mensile.
Previsioni: cosa aspettarsi nei prossimi mesi
Guardando ai dati raccolti da agosto 2026 e al ritmo di crescita del catalogo KEV negli ultimi mesi, si possono tracciare alcune tendenze plausibili per la seconda metà dell’anno.
- Il catalogo KEV supererà probabilmente quota 1.700 voci entro fine settembre 2026, seguendo il ritmo di circa 20-25 aggiunte al mese osservato tra giugno e agosto.
- Gli strumenti di business intelligence e analytics interni, come Metabase, diventeranno un bersaglio ricorrente, perché spesso hanno accesso diretto a database di produzione e non ricevono la stessa attenzione di patching riservata ai firewall.
- Le piattaforme usate dai fornitori di servizi gestiti, come N-able N-central, resteranno un vettore privilegiato per attacchi a catena verso più clienti finali, replicando lo schema già visto nel 2026.
- Le aziende italiane soggette a NIS2 aumenteranno l’uso combinato di KEV e EUVD nei propri processi di vulnerability management, spinte anche dagli obblighi di segnalazione della direttiva.
- Le scadenze di remediation imposte da CISA continueranno ad accorciarsi per le falle più gravi, con finestre di 72 ore che diventeranno la norma per punteggi CVSS superiori a 9.5.
Domande frequenti sul Patch Tuesday di agosto 2026
Cos’è il Patch Tuesday?
È il ciclo mensile di aggiornamenti di sicurezza rilasciato da Microsoft il secondo martedì di ogni mese. Nel ciclo di agosto 2026, caduto l’11 agosto, l’azienda ha corretto 751 CVE con 67 aggiornamenti distinti.
Quante vulnerabilità critiche conteneva il Patch Tuesday di agosto 2026?
108 CVE sono state classificate come Critical, la fascia di gravità più alta usata da Microsoft, e almeno una, la CVE-2026-55040 in SharePoint Server, risultava già sfruttata al momento del rilascio.
Cos’è il catalogo CISA KEV?
È l’elenco pubblico delle vulnerabilità con sfruttamento attivo confermato, gestito da CISA dal novembre 2021 sotto la Binding Operational Directive 22-01. Al 14 agosto 2026 conteneva 1.665 voci.
Perché Metabase ha ricevuto un punteggio CVSS 10.0?
La CVE-2026-72898 è una SQL injection che non richiede autenticazione né interazione dell’utente e compromette totalmente riservatezza, integrità e disponibilità del sistema, la combinazione che genera il punteggio massimo sulla scala CVSS.
Le aziende italiane sono obbligate a seguire il catalogo KEV?
No, l’obbligo formale riguarda solo le agenzie federali statunitensi. In pratica, però, il KEV è diventato uno standard di riferimento globale, e molte aziende europee lo usano insieme all’EUVD di ENISA per definire le priorità di patching.
Cos’è l’EUVD e in cosa differisce dal KEV americano?
È la European Vulnerability Database lanciata da ENISA nel maggio 2025 nel contesto del Cyber Resilience Act e della direttiva NIS2. A differenza del KEV, aggrega informazioni da più fonti ma non impone scadenze di remediation vincolanti.
Quanto tempo hanno le aziende per applicare le patch delle vulnerabilità nel catalogo KEV?
Le scadenze variano da caso a caso: nelle aggiunte di agosto 2026 sono andate da soli tre giorni, come per Metabase e i firewall Cisco ASA/FTD, fino a due settimane per il driver Windows WinSock.
Cosa rischia chi non applica in tempo le patch critiche?
Oltre al rischio diretto di compromissione, le aziende con cyber-assicurazione possono incontrare clausole di esclusione se un sinistro riguarda una vulnerabilità già nota e non corretta entro un tempo ragionevole.
Copertura correlata
- CISA KEV: 7 Falle Aggiunte, 5 Hanno Oltre 15 Anni [2026]
- CVE-2026-68820: Lazarus Colpisce la Difesa UE [2026]
- OWASP Top 10 2025 vs API Security Top 10: 10 vs 10
- SBOM e Dependency Scan in Node.js: 12 Step, 40 Min [2026]
- Zero-Day SonicWall SMA1000: 380 Appliance Esposte [2026]
- Tutte le notizie sulla sicurezza informatica
