// TOM'S HARDWARE ITALIA — CYBERSECURITY
Sicurezza IT nelle PMI italiane: 112 falle critiche impongono di aggiornare i sistemi Microsoft
Microsoft ha pubblicato gli aggiornamenti di settembre con circa 972 vulnerabilità corrette, delle quali 112 classificate come critiche secondo il resoconto di Ars Technica. Per le imprese italiane che utilizzano i sistemi interessati, la decisione operativa riguarda l'ordine degli interventi: individuare le installazioni esposte e assegnare priorità alle correzioni. Per i soggetti nel perimetro NIS, questa attività si inserisce nella gestione delle vulnerabilità prevista dal decreto legislativo 138/2024.
Il rilascio comprende due vulnerabilità zero-day per le quali la fonte riferisce uno sfruttamento già in corso, senza informazioni pubbliche sugli autori o sull'estensione degli attacchi. Non sono indicati casi italiani. Il collegamento con le PMI nazionali riguarda quindi la manutenzione dei sistemi e il controllo dei fornitori IT: il numero complessivo delle falle non identifica, da solo, quali macchine di una determinata azienda richiedano un intervento.
La sequenza riportata da Ars Technica mostra un'accelerazione in tre mesi: 570 vulnerabilità corrette a luglio, quando il totale costituiva già un record, circa 620 ad agosto e 972 a settembre. Il fenomeno descritto dalla testata non riguarda soltanto Microsoft: anche Google e altre società hanno comunicato quantità record di vulnerabilità negli ultimi mesi. Si tratta di falle individuate e corrette, non di un conteggio degli attacchi riusciti.
Il ricercatore Dustin Childs, della Zero Day Initiative, avverte però che il perimetro del conteggio richiede attenzione. Alcune vulnerabilità possono essere già state affrontate oppure riguardare prodotti di terzi. Includendo le correzioni provenienti da Chromium e incorporate in Edge, il totale riportato sale a 997. La differenza dipende dunque da ciò che viene incluso nel rilascio, e non equivale a un secondo insieme di 997 falle da sommare al primo.
Esiste anche una divergenza sulla gravità: Ars Technica indica 112 falle critiche, mentre nell'analisi mensile della Zero Day Initiative il testo consultato ne riporta 114. Entrambe le fonti indicano 972 nuove vulnerabilità e 997 nel conteggio esteso. Il dato di 112 resta quindi attribuito al resoconto di Ars Technica; le due classificazioni non possono essere presentate come perfettamente concordanti.
Secondo il bilancio riportato dalla stessa testata, Microsoft ha già corretto 2.760 vulnerabilità nel 2026, oltre il doppio del totale dell'anno precedente. Ars aggiunge che, mantenendo questo ritmo, il risultato annuale supererebbe la somma di 2023, 2024 e 2025. È una proiezione condizionata alla prosecuzione del ritmo osservato, non un consuntivo né un obiettivo annunciato dall'azienda. La crescita misura anzitutto il lavoro di individuazione e correzione.
La prima delle due vulnerabilità evidenziate è CVE-2026-81963, relativa al sistema di aggiornamento di Windows. La seconda è CVE-2026-85880, associata al componente Windows Advanced Local Procedure Call. Ars Technica le segnala fra i casi da osservare nel rilascio di settembre. I due identificativi permettono ai responsabili tecnici di distinguere queste falle dal resto dell'elenco, senza dedurre dal solo totale mensile quali componenti siano presenti nelle rispettive infrastrutture.
Su entrambe manca, nel resoconto, una descrizione pubblica di chi stia conducendo gli attacchi e della loro diffusione. Questo limite impedisce di attribuire campagne a gruppi specifici, settori industriali o Paesi. Il riferimento allo sfruttamento effettivo va mantenuto separato dal livello di gravità: descrive un uso della vulnerabilità già osservato, mentre la classificazione critica sintetizza una valutazione del potenziale impatto. Sono informazioni diverse per chi deve ordinare gli interventi.
Un ulteriore elemento riguarda le vulnerabilità capaci di consentire la propagazione automatica degli attacchi. Secondo Ars Technica, Childs ha smesso di contarle dopo essere arrivato a 20 casi. Il dato non viene presentato come un censimento defini