Il Patch Tuesday di luglio sembra non finire mai

Martedì Microsoft ha rilasciato 575 patch che interessano 29 famiglie di prodotti. Sessantatré delle vulnerabilità corrette sono classificate da Microsoft come di gravità Critical; 44 CVE sono considerate suscettibili di essere sfruttate entro i prossimi 30 giorni. (Due lo sono già, sebbene né CVE-2026-56155 né CVE-2026-56164 siano classificate come Critical.) Ben 103 vulnerabilità presentano un punteggio CVSS Base pari o superiore a 8.0. Al momento del rilascio, una sola vulnerabilità era stata divulgata pubblicamente e due risultavano già oggetto di sfruttamento attivo (in the wild).

Anche il numero di advisory pubblicati questo mese è particolarmente elevato. Oltre al consueto aggiornamento del Servicing Stack, sono stati diffusi 479 advisory, tutti relativi a Microsoft Edge. Praticamente tutti erano già stati corretti prima del Patch Tuesday, ma, come sempre, invitiamo i lettori a verificare di aver installato tutti gli aggiornamenti disponibili del browser non appena vengono rilasciati. Questo mese Microsoft non ha distribuito patch relative ad Adobe e, fatta eccezione per i 435 advisory di Edge derivanti da Chromium, tutte le CVE (nonché il Servicing Stack) hanno avuto origine da Microsoft.

Alcune delle vulnerabilità corrette questo mese possono essere rilevate direttamente dalle soluzioni di protezione Sophos e, come di consueto, riportiamo le relative informazioni nella tabella seguente.

Facendo un passo indietro rispetto ai dati di luglio, siamo ormai a circa quattro mesi dall'inizio dell'era della ricerca delle vulnerabilità supportata dall'Intelligenza Artificiale e stanno iniziando a emergere alcuni schemi significativi.

Il primo è che, o i ricercatori stanno improvvisamente formando coalizioni che farebbero impallidire la NATO, oppure le scoperte simultanee delle vulnerabilità sono diventate estremamente frequenti. Negli anni passati era insolito vedere una singola vulnerabilità attribuita a più di una mezza dozzina di ricercatori; solo questo mese sono state registrate almeno quattro CVE con dieci o più contributori accreditati. Una di queste, una notevole vulnerabilità di Remote Code Execution (RCE) in PowerShell, identificata come CVE-2026-40400, riporta addirittura quindici autori accreditati.

In modo analogo, il numero di vulnerabilità attribuite ad alcuni ricercatori (singoli individui o gruppi) è sorprendente. Oggi è del tutto normale che la stessa entità riceva il merito per una dozzina o più di CVE nello stesso mese. Il principale segnalatore di CVE di luglio, identificato come 0ccbbf129444eb66344ccafb92b00df4, ha ottenuto il riconoscimento per 47 CVE nel solo mese di luglio (di cui 44 relative a Microsoft Office, pari a oltre la metà del totale delle vulnerabilità Office del mese).

Il secondo elemento è che, sebbene il volume delle vulnerabilità sia impressionante, finora queste vengono individuate nei laboratori di ricerca e non durante attacchi reali. (E non possiamo certo lamentarcene.) Nessuna delle vulnerabilità segnalate da 0ccbbf129444eb66344ccafb92b00df4 è stata finora osservata in the wild e solo sette sono classificate come Critical.

Leggi tutto l’articolo: https://www.sophos.com/en-us/blog/july-patch-tuesday-only-feels-endless