Il 6 agosto 2026 Microsoft ha registrato nel proprio Update Guide una vulnerabilità che ha fatto drizzare le antenne a chi gestisce infrastrutture cloud in Europa: CVE-2026-56162, una falla di autenticazione impropria in Azure SQL Database con il punteggio massimo possibile, CVSS 10.0. Un attaccante remoto, senza credenziali e senza bisogno di alcuna interazione da parte della vittima, può inviare richieste create ad arte contro il meccanismo di autenticazione del servizio ed elevare i propri privilegi sul database, secondo l’analisi tecnica pubblicata da vuln.today. Il dato più delicato riguarda lo scope della falla: il cambio di “scope” nel vettore CVSS suggerisce un possibile impatto cross-tenant, cioè la teorica possibilità di raggiungere dati che appartengono a clienti diversi sulla stessa infrastruttura condivisa.

La notizia arriva nella stessa settimana in cui SecurityOnline ha pubblicato il suo report settimanale di threat intelligence del 23 agosto 2026, segnalando CVE-2026-56162 insieme ad altre falle critiche emerse nel ciclo di patch di agosto targato Microsoft. Per le aziende italiane ed europee che affidano dati sensibili ad Azure SQL Database, la domanda pratica è semplice: cosa rischio davvero, e cosa devo fare adesso? Proviamo a rispondere con i numeri disponibili, senza inventare percentuali che nessuna fonte ha ancora confermato.

Cosa dice esattamente CVE-2026-56162

La descrizione ufficiale, ripresa identica da NVD, da OpenCVE e da Rapid7, è breve ma pesante: “Improper authentication in Azure SQL Database allows an unauthorized attacker to elevate privileges over a network”. Tradotto, un’autenticazione gestita male permette a chi non ha alcun diritto di accesso di ottenere privilegi più alti passando semplicemente dalla rete. La classificazione tecnica è CWE-287, Improper Authentication, e il vettore CVSS 3.1 completo, riportato da Tenable, è AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.

Ogni lettera di quel vettore conta. Attacco via rete (AV:N), complessità bassa (AC:L), nessun privilegio richiesto (PR:N), nessuna interazione utente (UI:N), scope cambiato (S:C) e impatto alto su riservatezza, integrità e disponibilità (C:H/I:H/A:H). È la combinazione che gli analisti temono di più perché non richiede né phishing né credenziali rubate: basta raggiungere l’endpoint giusto. Secondo l’advisory tecnico pubblicato da Halo Security, l’attaccante sfrutta richieste create appositamente contro il meccanismo di autenticazione del servizio per ottenere privilegi che non gli spettano.

C’è però un dato che ridimensiona l’allarme immediato. Il punteggio EPSS, cioè la probabilità stimata di sfruttamento nei prossimi 30 giorni, resta sotto l’1% (circa 0,49% secondo Strix), e alla data del 26 agosto 2026 la falla non compare nel catalogo Known Exploited Vulnerabilities di CISA. In altre parole: gravissima sulla carta, ma senza prove pubbliche di sfruttamento attivo al momento della pubblicazione di questo articolo.

Chi deve preoccuparsi e chi no

Azure SQL Database è un servizio completamente gestito, il che cambia le regole del gioco rispetto a una CVE classica su software installato. CrowdStrike, nella sua analisi del Patch Tuesday di agosto 2026, elenca CVE-2026-56162 tra le vulnerabilità critiche del mese e segna alla voce “Action required?” un secco “No”. Il motivo è che la correzione viene distribuita da Microsoft direttamente sulla flotta cloud, senza patch da installare lato cliente. Non esiste quindi un aggiornamento da scaricare per i database administrator italiani: il lavoro tecnico lo fa Microsoft sul backend del servizio.

Questo non significa che i team di sicurezza possano ignorare la notizia. Le raccomandazioni ricorrenti nelle fonti consultate, da OpenCVE a vuln.today, insistono su tre punti pratici: verificare che le istanze Azure SQL Database siano sulla versione di servizio aggiornata tramite il portale MSRC Update Guide, restringere l’accesso di rete con firewall e Network Security Group, e applicare il principio del privilegio minimo nei ruoli RBAC assegnati al database. Sono misure che qualunque azienda con presenza su Azure dovrebbe già avere, ma che questa CVE rende urgenti da ricontrollare.

Nello stesso lotto di correzioni compare anche CVE-2026-63522, un’altra vulnerabilità di elevazione dei privilegi su Azure SQL Database, con severità più contenuta (CVSS 7.8 secondo CrowdStrike). Due falle distinte sullo stesso servizio, pubblicate nello stesso ciclo di patch, sono un segnale che l’area di autenticazione di Azure SQL Database ha ricevuto un giro di verifiche più approfondito del solito da parte dei ricercatori Microsoft o esterni.

Le altre falle cloud del Patch Tuesday di agosto

CVE-2026-56162 non è arrivata da sola. Lo stesso ciclo di aggiornamenti di agosto 2026 ha portato alla luce almeno altre due vulnerabilità critiche legate ai servizi cloud Microsoft più usati dalle aziende europee: Azure Kubernetes Service e Microsoft Teams. La tabella seguente riassume i dati verificabili raccolti dalle fonti tecniche.

CVEServizioCVSSTipo di fallaStato exploit
CVE-2026-56162Azure SQL Database10.0Autenticazione impropria (CWE-287)Non in KEV, EPSS <1%
CVE-2026-63522Azure SQL Database7.8Elevazione privilegiNon in KEV
CVE-2026-50516Azure Kubernetes Service9.4Autenticazione mancante (CWE-306)Non in KEV
CVE-2026-65667Microsoft TeamsNon confermatoAutorizzazione impropriaSegnalato da SecurityOnline

CVE-2026-50516 merita un approfondimento a parte perché tocca un servizio ancora più diffuso nelle architetture cloud-native europee: Azure Kubernetes Service. La descrizione ufficiale, riportata da Cloud Security Wire, parla di “missing authentication for critical function”, cioè l’assenza di un controllo di autenticazione su una funzione critica del piano di controllo AKS. Il vettore CVSS 3.1 è AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L: attacco remoto, nessun privilegio richiesto, ma a differenza della falla su Azure SQL Database lo scope resta invariato, quindi l’impatto teorico non attraversa i confini del singolo cluster.

Il precedente del 2025: Entra ID e l'”Actor Token”

Chi segue la sicurezza di Azure da un po’ di tempo ricorderà settembre 2025, quando Microsoft rilasciò una correzione d’emergenza per CVE-2025-55241, una falla in Entra ID (l’ex Azure Active Directory) che permetteva di impersonare qualunque utente, compresi i Global Administrator, attraverso i confini tra tenant diversi. Secondo l’analisi tecnica pubblicata su Medium dal ricercatore che l’ha soprannominata “Actor Token Apocalypse”, il problema nasceva da una validazione impropria dei token nella deprecata Azure AD Graph API (graph.windows.net), con un CVSS di 9.8. La falla non richiedeva MFA, non generava log di audit e aggirava le Conditional Access, tre caratteristiche che l’hanno resa uno dei casi di studio più citati dell’anno sulla sicurezza dell’identità cloud.

Il 2025 aveva già portato altri campanelli d’allarme sullo stesso fronte. A settembre, la Cyber Security Agency di Singapore segnalò CVE-2025-29972, una falla di spoofing nel resource provider di Azure Storage con CVSS 9.9. Nello stesso mese, Rapid7 elencò CVE-2025-54914, elevazione di privilegi su Azure Networking, con CVSS 10, senza segni di sfruttamento attivo alla pubblicazione. A questi si aggiungono CVE-2025-64657 su Azure Application Gateway (CVSS 9.8) e CVE-2025-66390 su Azure API Management (CVSS 9.8), quest’ultima legata a un difetto nel flusso di registrazione self-service che permetteva di riutilizzare un tenant cambiando hostname.

CVEServizio AzureCVSSPeriodo
CVE-2025-55241Entra ID (Azure AD)9.0Settembre 2025
CVE-2025-29972Azure Storage9.9Settembre 2025
CVE-2025-54914Azure Networking10.0Settembre 2025
CVE-2025-64657Azure Application Gateway9.8Novembre 2025
CVE-2025-66390Azure API Management9.8Ottobre 2025
CVE-2026-56162Azure SQL Database10.0Agosto 2026

Il pattern che emerge da questa sequenza è chiaro: negli ultimi dodici mesi Microsoft ha corretto almeno sei vulnerabilità con CVSS tra 9.0 e 10.0 sui componenti cloud del proprio ecosistema, quasi tutte concentrate su autenticazione e gestione dei privilegi. Non è un caso isolato legato a un singolo servizio, ma una tendenza distribuita su identità, storage, rete, application gateway, API management e ora database.

Perché le falle di autenticazione cloud sono in aumento

Un’analisi pubblicata da Security Boulevard sui dati OWASP 2025 offre una chiave di lettura utile: la categoria “security misconfiguration” è salita dal quinto al secondo posto nella classifica OWASP Top 10, spinta soprattutto dalla complessità crescente delle configurazioni cloud e non da bug a livello di codice applicativo. In altre parole, il problema non è più (solo) scrivere codice sicuro, ma configurare correttamente sistemi di autenticazione distribuiti su decine di microservizi, tenant e ruoli.

Il Cloud Security Alliance, in un white paper pubblicato a maggio 2026, calcola che le CVE registrate su NVD sono cresciute del 263% tra il 2020 e il 2025, con 48.185 vulnerabilità pubblicate solo nel 2025. NIST ha dovuto arricchire quasi 42.000 di queste voci, il 45% in più rispetto a qualunque anno precedente, un carico di lavoro che gli analisti citano spesso come causa dei ritardi nella pubblicazione di dettagli tecnici completi per singole CVE. Con un volume simile, non stupisce che anche i grandi fornitori cloud fatichino a chiudere ogni falla di autenticazione prima che qualcuno la scovi per primo.

Il costo di una violazione cloud secondo IBM

Sul fronte economico, il report Cost of a Data Breach 2026 di IBM segna un’inversione di tendenza netta. Dopo il calo del 2025 (quando il costo medio globale era sceso a 4,44 milioni di dollari, la prima flessione in cinque anni), il 2026 riporta un balzo del 12% fino a 4,99 milioni di dollari, un record assoluto secondo lo studio condotto dal Ponemon Institute su oltre 600 organizzazioni colpite tra marzo 2025 e febbraio 2026. Le violazioni che coinvolgono attacchi abilitati dall’intelligenza artificiale, che secondo IBM rappresentano ormai una violazione dolosa su quattro, costano in media 6 milioni di dollari, circa un milione in più della media generale.

Un dato del report 2025 di IBM resta particolarmente rilevante per il caso Azure SQL Database: le violazioni che coinvolgono dati distribuiti su più ambienti, tipicamente un mix di cloud pubblico, cloud privato e infrastruttura on-premise, hanno un costo medio di 5,05 milioni di dollari, il valore più alto tra tutte le configurazioni analizzate da IBM. È esattamente lo scenario che una falla come CVE-2026-56162 potrebbe generare, dato il potenziale impatto cross-tenant segnalato nel vettore CVSS.

Azure, AWS e Google Cloud: chi comanda in Europa

Per capire quanto pesi una falla critica su Azure SQL Database per le aziende europee, serve guardare alla dimensione del mercato. A livello globale, Synergy Research Group stima che nel primo trimestre 2026 Amazon (AWS) detenga il 28% del mercato dell’infrastruttura cloud, Microsoft Azure il 21% e Google Cloud il 14%, dati ripresi anche da Statista. In Europa il quadro è ancora più concentrato nelle mani dei tre grandi player statunitensi: secondo Synergy Research, AWS, Microsoft e Google insieme controllano oltre il 70% del mercato cloud europeo, lasciando ai fornitori locali una quota ferma intorno al 15%, una percentuale che secondo la società di analisi non si muove sostanzialmente dal 2022.

Uno studio di mercato di GM Insights, che misura il mercato cloud computing europeo in senso più ampio (non solo infrastruttura pura), colloca Microsoft Azure al primo posto con circa il 15,2% di quota nel 2025, seguita da Google Cloud al 12,1% e AWS al 10,8%. Le due metriche non sono direttamente confrontabili perché misurano perimetri di mercato diversi, ma raccontano la stessa storia di fondo: qualunque falla critica sui servizi Azure ha un bacino di clienti europei enorme su cui incidere, dalle grandi banche alle pubbliche amministrazioni che hanno adottato il cloud Microsoft per ragioni di compliance o di preesistenti accordi enterprise.

L’adozione del cloud in Italia, in particolare, è cresciuta più velocemente della media europea. Secondo dati Eurostat, il 52,7% delle imprese UE ha utilizzato servizi cloud a pagamento nel 2025, in crescita di 7,4 punti percentuali rispetto al 2023. L’Italia si posiziona tra i paesi con l’adozione più alta, al 75,6%, con un incremento di 14,2 punti percentuali in soli due anni, un ritmo di crescita superiore a quello di Germania e Francia nello stesso periodo.

Confronto competitivo: come gestiscono le falle i tre grandi cloud

Non tutti i fornitori cloud gestiscono le vulnerabilità critiche allo stesso modo, e questo cambia concretamente il lavoro dei team di sicurezza. Il modello di Azure per servizi completamente gestiti come Azure SQL Database prevede la correzione lato piattaforma senza intervento del cliente, un approccio che riduce il rischio di “patch gap” ma che lascia i clienti dipendenti dai tempi e dalla trasparenza di Microsoft su cosa sia stato davvero corretto e quando.

AWS segue un modello simile per i servizi gestiti equivalenti, come RDS, ma pubblica gli aggiornamenti tramite bollettini di sicurezza separati per servizio piuttosto che in un unico ciclo mensile stile Patch Tuesday, il che rende più difficile per i team italiani avere un quadro consolidato mensile delle correzioni. Google Cloud, dal canto suo, pubblica il proprio Threat Horizons Report periodico, che nella sua ultima edizione analizzata indicava una tendenza interessante: la quota di incidenti cloud causati da errori di configurazione era scesa dal 29,4% nella prima metà del 2025 al 21% nella seconda metà, mentre lo sfruttamento diretto di vulnerabilità software ha superato le credenziali rubate come principale vettore di accesso iniziale.

La differenza pratica per un’azienda italiana che usa più cloud in parallelo, scenario sempre più comune con l’adozione multi-cloud, è che deve monitorare cadenze di patch, formati di advisory e terminologie di severità diverse per ogni fornitore. È uno dei motivi per cui strumenti di Cloud Security Posture Management, di cui abbiamo già scritto confrontando Wiz e Orca Security, stanno diventando componenti quasi obbligatori nello stack di sicurezza di chi gestisce infrastrutture multi-cloud in Europa.

Cosa devono controllare adesso i team IT italiani

Anche se la correzione di CVE-2026-56162 non richiede un intervento diretto sul database, i team di sicurezza dovrebbero comunque usare questa notizia come occasione per un controllo mirato della postura di sicurezza su Azure SQL Database. Un buon punto di partenza è verificare le regole del firewall a livello di server, che spesso vengono lasciate troppo permissive durante la fase di sviluppo e mai più corrette in produzione.

# Verifica le regole firewall attive su un Azure SQL Server
az sql server firewall-rule list \
  --resource-group  \
  --server  \
  --output table

# Controlla se l'accesso ai servizi Azure è abilitato in modo troppo ampio
az sql server show \
  --resource-group  \
  --name  \
  --query "publicNetworkAccess"

# Rivedi le assegnazioni di ruolo RBAC sul server SQL
az role assignment list \
  --scope /subscriptions//resourceGroups//providers/Microsoft.Sql/servers/ \
  --output table

Oltre al controllo tecnico, vale la pena rivedere anche il processo organizzativo: chi riceve gli avvisi dell’MSRC Update Guide in azienda, quanto tempo passa prima che arrivino al team di sicurezza, e se esiste un playbook per le CVE su servizi gestiti dove non c’è una patch da applicare manualmente ma solo una verifica di configurazione da eseguire. È la stessa logica di incident response strutturata di cui avevamo parlato nella nostra guida al piano di incident response in 12 step.

Il quadro NIS2 e le responsabilità delle aziende italiane

Per le aziende italiane rientranti nel perimetro della direttiva NIS2, una CVE con CVSS 10.0 su un servizio cloud ampiamente usato non è solo un problema tecnico ma anche un tema di compliance. Le organizzazioni soggette a NIS2 devono dimostrare di avere processi di gestione del rischio della catena di approvvigionamento digitale, e un fornitore cloud come Microsoft rientra a pieno titolo in quella catena. Anche se la correzione è gestita interamente da Microsoft, il team di conformità dovrebbe comunque documentare la valutazione del rischio, la verifica di non esposizione e le eventuali azioni di hardening applicate come prova di due diligence, un punto che avevamo già affrontato nel dettaglio parlando delle ispezioni ACN previste da ottobre 2026.

Previsioni: cosa aspettarsi nei prossimi mesi

  • Altre CVE simili su servizi gestiti. Con 48.185 vulnerabilità pubblicate nel 2025 e un trend di crescita confermato per il 2026 secondo Flashpoint, è ragionevole aspettarsi altre falle critiche di autenticazione su servizi PaaS nei prossimi mesi, non solo su Azure.
  • Maggiore enfasi su CSPM e monitoraggio continuo. Con la sicurezza cloud che secondo Google Cloud vede lo sfruttamento diretto di vulnerabilità superare le credenziali rubate come vettore di accesso, gli strumenti di scansione continua della configurazione cloud diventeranno una voce di budget più difficile da rimandare per i CISO italiani.
  • Pressione normativa crescente. Con le ispezioni ACN legate a NIS2 in partenza da ottobre 2026 su circa 20.000 aziende italiane, ci aspettiamo che gli auditor comincino a chiedere prove documentali specifiche sulla gestione delle CVE relative ai fornitori cloud, non solo sull’infrastruttura di proprietà.
  • Costi delle violazioni multi-ambiente in ulteriore salita. Se il trend che ha portato il costo medio globale IBM da 4,44 a 4,99 milioni di dollari in un anno continua, il 2027 potrebbe vedere il costo delle violazioni multi-cloud superare stabilmente i 5,5 milioni di dollari.
  • Consolidamento del mercato cloud europeo attorno ai tre grandi player. Con i fornitori locali fermi al 15% da diversi anni secondo Synergy Research, è improbabile che la sovranità digitale europea riduca in modo significativo la dipendenza da Azure, AWS e Google Cloud nel breve periodo, rendendo notizie come questa rilevanti per la maggioranza delle aziende del continente ancora per parecchio tempo.

Il bilancio per le aziende che usano Azure SQL Database

Alla fine, CVE-2026-56162 racconta due cose insieme. La prima è positiva: il modello di servizio gestito ha funzionato come dovrebbe, con Microsoft che corregge il problema a livello di piattaforma senza richiedere interventi ai clienti e senza (al momento) prove di sfruttamento in circolazione. La seconda è più scomoda: un punteggio CVSS 10.0 su un componente usato da decine di migliaia di aziende europee, arrivato appena undici mesi dopo un’altra falla da punteggio massimo su Azure Networking e meno di un anno dopo il caso Entra ID, conferma che l’autenticazione resta il punto debole sistemico dell’infrastruttura cloud moderna, non un incidente isolato.

Per i team di sicurezza italiani la lezione pratica è che la fiducia nel modello “patch automatica del cloud provider” deve essere accompagnata da verifiche indipendenti, non sostituita da esse. Firewall configurati troppo largamente, ruoli RBAC assegnati per comodità e non per necessità, e la mancanza di un inventario aggiornato di quali team ricevono gli avvisi MSRC restano gli anelli deboli che nessuna correzione lato Microsoft può sistemare al posto vostro.

Domande frequenti

Devo applicare manualmente una patch per CVE-2026-56162?

No. Azure SQL Database è un servizio completamente gestito e la correzione viene distribuita da Microsoft direttamente sulla flotta cloud. CrowdStrike indica esplicitamente “Action required: No” per questa CVE nella sua analisi del Patch Tuesday di agosto 2026.

CVE-2026-56162 è stata sfruttata attivamente?

Alla data del 26 agosto 2026 non risultano prove pubbliche di sfruttamento attivo. La falla non compare nel catalogo Known Exploited Vulnerabilities di CISA e il punteggio EPSS resta sotto l’1%, secondo i dati riportati da OpenCVE e Strix.

Cosa significa “impatto cross-tenant” in questo contesto?

Il cambio di scope nel vettore CVSS (S:C) indica che l’impatto di uno sfruttamento riuscito potrebbe teoricamente estendersi oltre i confini del singolo tenant Azure, un dettaglio evidenziato dall’analisi tecnica di vuln.today. Non è confermato un caso reale di accesso cross-tenant, ma è il motivo per cui il punteggio CVSS raggiunge il massimo di 10.0.

In cosa differisce CVE-2026-56162 dalla falla Entra ID del 2025?

CVE-2025-55241 colpiva il livello di identità (Entra ID) e permetteva l’impersonificazione di utenti tra tenant diversi tramite un difetto nei token di servizio. CVE-2026-56162 colpisce invece il meccanismo di autenticazione specifico di Azure SQL Database. Sono componenti diversi dell’infrastruttura Azure, ma condividono lo stesso schema di fondo: un’autenticazione che non verifica correttamente chi sta effettivamente chiedendo l’accesso.

Le aziende italiane devono documentare questa CVE per NIS2?

Le organizzazioni soggette a NIS2 dovrebbero comunque registrare la valutazione del rischio legata ai propri fornitori cloud critici, anche quando la correzione tecnica è gestita interamente dal fornitore. Documentare la verifica di non esposizione fa parte delle prove di due diligence che gli auditor ACN potrebbero richiedere durante le ispezioni previste da ottobre 2026.

Quali altre vulnerabilità critiche sono emerse nello stesso ciclo di patch?

Nello stesso ciclo di agosto 2026 sono state segnalate anche CVE-2026-63522 (Azure SQL Database, CVSS 7.8), CVE-2026-50516 (Azure Kubernetes Service, CVSS 9.4) e CVE-2026-65667 (Microsoft Teams, falla di autorizzazione), secondo i report di CrowdStrike, Cloud Security Wire e SecurityOnline.

Quanto costa in media una violazione che coinvolge più ambienti cloud?

Secondo il report Cost of a Data Breach 2025 di IBM, le violazioni che coinvolgono dati distribuiti su più ambienti (cloud pubblico, privato e on-premise insieme) costano in media 5,05 milioni di dollari, il valore più alto tra tutte le configurazioni analizzate dallo studio.

Chi ha la quota di mercato cloud più alta in Europa?

Secondo Synergy Research Group, AWS, Microsoft Azure e Google Cloud insieme controllano oltre il 70% del mercato cloud europeo, con i fornitori locali fermi a circa il 15%. A livello globale, nel primo trimestre 2026 AWS guida con il 28%, seguita da Azure al 21% e Google Cloud al 14%.