Microsoft risolve 163 CVE e pubblica 88 advisory nel Patch Tuesday di aprile

Martedì Microsoft ha rilasciato 163 patch che interessano 17 famiglie di prodotti. Otto delle vulnerabilità corrette sono considerate di gravità critica e una di queste, secondo Microsoft, è destinata a essere sfruttata entro i prossimi 30 giorni. Diciotto vulnerabilità hanno un punteggio base CVSS pari o superiore a 8.0. Una – la vulnerabilità di spoofing di SharePoint identificata come CVE-2026-32201 – risulta attualmente sfruttata attivamente in attacchi reali, mentre un’altra (CVE-2026-33825, un bug di Defender) è stata resa pubblica.

Al momento del rilascio delle patch, 24 CVE sono state valutate dall’azienda come più probabilmente sfruttabili entro i successivi 30 giorni; tra queste rientra il bug di Defender, ma non quello di SharePoint. Diverse vulnerabilità di questo mese sono rilevabili direttamente dalle protezioni Sophos, e includiamo informazioni al riguardo nella consueta tabella qui sotto. In modo insolito, il nostro elenco delle protezioni include anche una patch per una vulnerabilità critica di tipo “prototype pollution” nei prodotti Reader e Acrobat di Adobe.

Il volume di patch di questo mese sfiora il record registrato lo scorso ottobre, ma include anche un numero molto elevato di advisory, per la maggior parte legati alle patch di Chrome integrate in Edge. Sei advisory riguardano Adobe, mentre MITRE e AMD ne contribuiscono uno ciascuno per Windows; Microsoft stessa include due CVE di Chrome/Edge già corretti, e Chrome contribuisce con ben 78 advisory. Il totale non raggiunge quello imponente del dicembre 2025, ma combinato con il numero di patch porta il totale degli elementi di attenzione di questo mese a ben 251. È questo un assaggio di come sarà la gestione delle patch nell’era OpenClaw / Glasswing? È ancora presto per dirlo, ma sarà interessante osservare gli sviluppi.

Come sempre, alla fine di questo articolo includiamo appendici che elencano tutte le patch Microsoft suddivise per gravità (Appendice A), per probabilità di sfruttamento e punteggio CVSS (Appendice B) e per famiglia di prodotto (Appendice C). L’Appendice D riporta gli advisory del mese, mentre l’Appendice E fornisce un dettaglio dei 127 CVE che interessano le varie versioni di Windows Server.

Infine, segnaliamo con piacere che Microsoft ha iniziato a fornire informazioni CWE (Common Weakness Enumeration) per quasi tutte le patch. Per sfruttare al meglio questa maggiore trasparenza, abbiamo aggiunto un’Appendice F, in cui analizziamo la distribuzione delle CWE di questo mese. (Tre categorie di vulnerabilità, tra l’altro, rappresentano oltre la metà delle patch: per scoprire quali, basta arrivare fino alla fine.)

Continua a leggere: https://www.sophos.com/en-us/blog/april-2026-microsoft-patch-tuesday