Il Patch Tuesday di settembre include 973 CVE

Il 9 settembre Microsoft ha rilasciato 973 patch che interessano 39 famiglie di prodotti. Di queste, 114 delle vulnerabilità risolte sono considerate da Microsoft di gravità Critica; 58 CVE sono considerate suscettibili di essere sfruttate nei prossimi 30 giorni. (Due vulnerabilità di Windows di gravità Importante lo sono già; ne parleremo più avanti.) 284 hanno un punteggio CVSS Base pari o superiore a 8,0. Nessuna delle vulnerabilità di questo mese era stata resa pubblica prima del rilascio delle patch.

Per il secondo mese consecutivo, il numero relativamente basso di advisory crea un interessante contrasto con l’evento principale. Il team di Chrome ha rilasciato 24 patch relative a Edge nei giorni precedenti al Patch Tuesday, mentre Adobe ha inserito nel rilascio principale 21 patch che interessano Acrobat. È stato inoltre pubblicato il consueto aggiornamento del Servicing Stack (ADV990001).

Anche gli annunci relativi a nove CVE Microsoft potrebbero essere considerati advisory, poiché erano state corrette prima del 9 settembre. Tutte sono di gravità Critica e due hanno ottenuto un punteggio CVSS Base “perfetto” di 10,0; interessano Azure, Copilot, Discovery Studio, Entra, Fabric e Power Automate.

Includiamo questi nove elementi nei consueti grafici e nelle statistiche riportati di seguito, ma fortunatamente non si tratta di vulnerabilità che l’amministratore medio debba affrontare in alcun modo. Il punteggio CVSS Base medio di queste nove CVE è 9,0, rispetto a una media di 7,4 per le altre 964 CVE.

Diverse vulnerabilità di questo mese possono essere rilevate direttamente dalle protezioni Sophos e, come di consueto, nella tabella seguente includiamo le relative informazioni.

E questo, come si suol dire, è il lato positivo della notizia. Ora parliamo del volume delle patch.

Sei mesi nella tempesta

Innanzitutto, partiamo dal presupposto che una vulnerabilità corretta sia — con un’eccezione di cui parleremo tra poco — sempre preferibile a una vulnerabilità non corretta.

Dicho esto, el sistema no se diseñó para la era de los detectores de IA. La figura 1 muestra el volumen de parches de los últimos 60 meses (cinco años) del martes de parches.

In quest’ottica, è facile apprezzare non solo la distribuzione di quasi mille patch a settembre, ma anche il regalo rappresentato dal Patch Tuesday: è gratuito, è prevedibile e migliora i prodotti.

(Ricordate sempre che il team che coordina e distribuisce le protezioni non è lo stesso team che ha scritto ciò che non funziona. Innanzitutto, il team che si occupa delle protezioni è molto più piccolo.)

La scelta continuativa da parte di Microsoft e di altri produttori di correggere le vulnerabilità anche molto tempo dopo che i clienti hanno completato i propri acquisti è un fatto positivo; possiamo discutere sulla durata del ciclo di vita dei prodotti, ma resta il fatto che tutti vogliamo che le cose vengano migliorate quando emergono dei problemi.

Il Patch Tuesday è un impegno programmato con cadenza regolare per fare proprio questo.

Leggi tutto l’articolo: https://www.sophos.com/en-us/blog/september-2026-patch-tuesday