Microsoft rilascia 622 correzioni di sicurezza, tra cui due zero-day sfruttati

Il rilascio degli aggiornamenti di sicurezza di luglio di Microsoft risolve 622 vulnerabilità uniche, diventando il più grande aggiornamento del Patch Tuesday mai pubblicato dall’azienda. Due delle falle sono zero-day che Microsoft afferma essere già sfruttate dagli attaccanti, mentre una terza è stata divulgata pubblicamente ma non è stata collegata ad attacchi attivi.

Le correzioni prioritarie riguardano SharePoint e AD FS

Il problema più urgente per le organizzazioni che utilizzano SharePoint on-premises è CVE-2026-56164, una vulnerabilità di elevazione dei privilegi che può essere sfruttata da remoto senza autenticazione o interazione dell’utente. Microsoft ha attribuito la segnalazione del problema a Mandiant e al team FLARE di Google e ha confermato che viene utilizzato negli attacchi. Gli amministratori possono inoltre ridurre l’esposizione abilitando AMSI in modalità completa.

La seconda falla sfruttata, CVE-2026-56155, interessa Active Directory Federation Services. Un attaccante autenticato potrebbe sfruttare controlli di accesso deboli per elevare localmente i propri privilegi. Sebbene la vulnerabilità sia classificata come locale, la compromissione di un server AD FS potrebbe avere conseguenze più ampie, poiché il sistema emette token di autenticazione considerati attendibili in tutta l’organizzazione.

Al momento della pubblicazione, nessuna delle due vulnerabilità era stata aggiunta al catalogo delle vulnerabilità note sfruttate di CISA. La classificazione di Microsoft come vulnerabilità sfruttata dovrebbe tuttavia essere considerata una ragione sufficiente per dare priorità alla correzione.

Altri problemi rilevanti

• CVE-2026-50661 è un bypass di BitLocker divulgato pubblicamente che richiede l’accesso fisico a un dispositivo.
• CVE-2026-55040 è un bypass dell’autenticazione JWT di SharePoint divulgato da Rapid7. I ricercatori hanno dimostrato come potrebbe essere combinato con una vulnerabilità di esecuzione di codice da remoto non corretta, per la quale è prevista una correzione ad agosto.
• Il rilascio rimuove l’opzione di rollback per la dismissione di Kerberos RC4. Le organizzazioni dovrebbero esaminare gli eventi di audit, identificare gli account di servizio che utilizzano ancora RC4 e ruotare le credenziali per generare chiavi AES prima di distribuire l’aggiornamento.

Windows rappresenta 416 dei problemi elencati, mentre Office ne conta 82 ed Edge 46. Il rilascio include inoltre vulnerabilità negli strumenti per sviluppatori, in Azure, SQL Server, Exchange Server, Defender e SharePoint. Tra le voci più rilevanti figurano una vulnerabilità di esecuzione di codice da remoto in Windows VMSwitch con valutazione 9,9 e vulnerabilità RCE in SQL Server con valutazione 8,8.

Microsoft ha attribuito l’insolito volume di correzioni in parte all’ampliamento dei test di sicurezza automatizzati. Le dimensioni dell’aggiornamento rafforzano inoltre la necessità di una definizione delle priorità basata sul rischio: lo sfruttamento attivo, l’esposizione a Internet, l’infrastruttura di autenticazione e le dipendenze che potrebbero interrompere le operazioni dovrebbero guidare l’ordine di distribuzione più dei soli punteggi di gravità.