Storia
settembre 9, 2026
Il Patch Tuesday da 972 correzioni di Microsoft alza la posta nella corsa alla sicurezza dell’IA
La pubblicazione record di patch di Microsoft viene interpretata in due modi: come prova che i difensori possono trovare e correggere più falle che mai, e come avvertimento che l’IA potrebbe ampliare la superficie d’attacco più rapidamente di quanto le normali patch possano contenerla.
Il Patch Tuesday di settembre di Microsoft ha ridefinito la portata della routine mensile di sicurezza. Secondo il conteggio del ricercatore della Zero Day Initiative Dustin Childs, l’azienda ha corretto circa 972 vulnerabilità—997 se si includono le correzioni di Chromium distribuite tramite Edge—di cui 112 classificate come critiche.1
Il totale supera il precedente record di 570 correzioni stabilito appena due mesi prima. Microsoft ha ora corretto 2.760 vulnerabilità quest’anno, più del doppio rispetto al conteggio dell’anno scorso; al ritmo attuale, il suo totale annuale supererebbe i totali combinati del 2023, 2024 e 2025.1
Childs ha definito i volumi in aumento la «nuova normalità». Ha elogiato i team che effettuano le correzioni, ma ha associato a ciò un avvertimento più netto: «La scoperta di vulnerabilità assistita dall’IA non mostra segni di rallentamento. Tuttavia, non abbiamo ancora visto un corrispondente picco negli exploit attivi».1
Il pacchetto di questo mese include due zero-day sfruttati attivamente, insieme a falle dalle conseguenze potenzialmente gravi. Un bug di Exchange Server potrebbe consentire a un attaccante non autenticato di eseguire codice inviando un allegato Visio dannoso; un altro riguarda Remote Desktop Services e ha un punteggio di gravità di 9,8. Childs ha detto di aver smesso di contare i bug propagabili come worm dopo aver raggiunto quota 20—falle in grado di diffondersi da macchina a macchina senza interazione dell’utente.1
L’industria nel suo complesso ha già descritto la tendenza come una corsa contro il tempo. Due settimane prima della pubblicazione, importanti aziende di IA e cloud hanno aderito a una lettera aperta che avvertiva che la finestra per correggere le debolezze potrebbe restringersi prima che gli attaccanti dotati di IA inizino a sfruttarle su larga scala.1
C’è una controargomentazione all’allarme: la ricerca di bug con l’IA resta costosa, può generare falsi positivi e dà ai fornitori un incentivo a promuovere strumenti basati sui loro stessi costosi modelli. Eppure i sostenitori indicano i numeri in crescita delle scoperte, incluso il rapporto di Mozilla secondo cui i suoi ricercatori assistiti da Mythos hanno individuato 271 vulnerabilità con quasi nessun falso positivo. La domanda difficile non è più se la montagna di patch sia reale, ma se sia prova di controllo—o di un’inondazione in arrivo.1