Patch Tuesday di Microsoft di novembre 2026: una vulnerabilità su 1.095 ha ottenuto un punteggio di 6,5 ed è sotto attacco

L'unica vulnerabilità di Microsoft sfruttata questo mese è classificata come "Moderata" e presenta il livello più alto di maturità di exploit assegnato da Microsoft. È stata individuata da un ricercatore che ha utilizzato l'intelligenza artificiale ed era già stata sfruttata in ambiente reale. Nel frattempo, il bug che questo mese ha effettivamente compromesso i firewall non era affatto di Microsoft.

In sintesi

Il numero indicato nel titolo si riferisce ai CVE classificati da Microsoft con un rating di impatto, esclusi 267 CVE di terze parti ripubblicati (pacchetti Azure Linux / Mariner, CVE relativi a Chromium assegnati da Google). Includendo questi ultimi, il documento conta 1.362 righe. Tenable e Krebs ne riportano 1.093, ZDI circa 1.090, mentre BleepingComputer ne indica 1.235 sulla base di criteri diversi. I nostri dati provengono dalla revisione dell’11 novembre. Il dato di novembre registra un calo del 23% rispetto ai 1.418 di ottobre — il secondo mese a quattro cifre, ma non un nuovo record.

La versione, per classe di impatto

1.095 CVE creati da Microsoft.

L'elevazione dei privilegi rappresenta il 49% della vulnerabilità e richiede innanzitutto un punto d'appoggio. L'esecuzione remota di codice è la categoria che non ne necessita. Tenable conta 287 prodotti interessati; quelli più colpiti sono Office Word (65), Office Excel (64) e SQL Server (53).

Ciò che conta davvero questo mese

Cinque cose, in ordine di priorità.

1. L'unica vulnerabilità di Microsoft oggetto di exploit ha ottenuto un punteggio di 6,5 — e Microsoft ne valuta la maturità dell'exploit come "Alta"

Questo è il massimo livello: codice di exploit ampiamente disponibile e affidabile. CVE-2026-124194 è una vulnerabilità di Outlook che causa la fuga di hash NTLM, e il punteggio CVSS la sottovaluta perché l’impatto riguarda solo la riservatezza e richiede l’interazione dell’utente. Su 1.095 CVE, 1.084 sono classificati Non comprovato e un altro è classificato come "Proof-of-Concept". Il CVSS lo ha classificato come «Moderato». La maturità dell’exploit indica che è possibile agire subito.

2. La relativa patch non è inclusa nell'aggiornamento cumulativo di Windows

La correzione è disponibile in aggiornamenti di sicurezza di — Microsoft 365 Apps for Enterprise e Office LTSC 2021/2024 — e non con KB5132061. Un ambiente che installa il rollup mensile di Windows e ritiene di aver risolto il problema rimarrà comunque esposto al rischio. La scadenza fissata dalla CISA è il 24 novembre.

3. L'intelligenza artificiale è apparsa in entrambi i giorni dello stesso mese

Microsoft attribuisce la scoperta relativa a Outlook a un ricercatore che lavorava “utilizzando Claude di Anthropic” — e la vulnerabilità era già stata sfruttata al momento del ritrovamento. Nello stesso contesto, gli autori degli attacchi hanno utilizzato l’assistenza dell’IA per creare la catena di exploit php2shell che ha consentito loro di ottenere il controllo dei firewall Palo Alto. Sia la scoperta che lo sfruttamento della vulnerabilità hanno subito un’accelerazione, nell’ambito dello stesso ciclo di notizie.

4. Il vero danno di questo mese è stato causato da PHP, non da Microsoft

CVE-2026-109618 e CVE-2026-109619 sono vulnerabilità RCE senza autenticazione nel codice sorgente stesso di PHP — EPSS 0,9999, il valore più alto tra tutti i CVE in questo periodo. L’honeypot di Amazon ha rilevato un tentativo di sfruttamento quattro giorni prima della divulgazione pubblica, mentre era ancora in fase di embargo. Almeno 25 firewall Palo Alto sono stati compromessi. Nessuna di queste vulnerabilità compare nel feed del Patch Tuesday.

5. Il volume continua a diminuire a causa del rischio

1.095 CVE di Microsoft, di cui uno sfruttato — 0,09%. I dati di VulnCheck mostrano che i CVE pubblicati sono aumentati del 45% su base annua, mentre quelli con sfruttamento confermato sono cresciuti del 10% e la percentuale di quelli sfruttati è scesa all’1,4% dal picco del 2,7%. Tuttavia, il tempo mediano che intercorre tra la pubblicazione e lo sfruttamento è sceso da 120 a 80 giorni. Il numero di vulnerabilità si sta diluendo; la miccia si sta accorciando.

Linee guida per la mitigazione

Le cinque correzioni di Microsoft che richiedono un piano, non solo una patch. Per ciascuna di esse: cosa fa effettivamente un malintenzionato con essa, cosa controllare nel proprio ambiente e cosa fare oltre all’installazione dell’aggiornamento.

CVE-2026-124194 — Microsoft Outlook, divulgazione di hash NTLM

SFRUTTATO · CVSS 6,5 · Maturità dell'exploit: Alta · KEV in scadenza il 24 novembre 2026 · CWE-356

Microsoft lo classifica come spoofing; dal punto di vista funzionale si tratta di una fuga di credenziali. Un file di messaggio appositamente creato induce Outlook a collegarsi a una posizione controllata dall’autore dell’attacco senza il consueto avviso relativo ai contenuti esterni, dopodiché Windows esegue automaticamente l’autenticazione, trasmettendo l’hash NTLMv2 dell’utente. Il punteggio 6,5 riflette un impatto limitato alla riservatezza, oltre alla necessità di un’interazione da parte dell’utente; non dice nulla sul valore che può avere una credenziale di dominio inoltrata.

In che modo gli hacker sfruttano questa vulnerabilità

• Invia un file di messaggio personalizzato; l'utente lo apre. Il riquadro di anteprima non è un vettore : il file deve essere aperto.
• Outlook si connette in uscita e Windows esegue l'autenticazione automatica, esponendo l'hash NTLMv2.
• Usalo in tempo reale contro qualsiasi servizio privo di firma SMB/LDAP o di protezione estesa per l'autenticazione, oppure decifrarlo offline con calma.

A cosa prestare attenzione

• Traffico SMB in uscita (porta 445) verso destinazioni esterne poco dopo l'apertura di un file di messaggi.
• Tentativi di autenticazione NTLM verso destinazioni Internet — controllare il registro eventi "NTLM Operational".
• Se la firma SMB, la firma LDAP e l’EPA vengono effettivamente applicate. Sono proprio queste misure a trasformare un hash trapelato a seguito di una violazione in un semplice fastidio.
• Non sono stati pubblicati codici IOC e non è stato indicato alcun attore, quindi l'unica opzione è la ricerca comportamentale.

Linee guida per la mitigazione

• Installate l'aggiornamento di Office, non solo il rollup di Windows. Microsoft 365 Apps for Enterprise e Office LTSC 2021/2024 includono la correzione. Questo è il caso più probabile in cui si possa pensare di aver installato la patch, mentre in realtà non è così.
• Gli endpoint prima dei server. La consegna avviene tramite e-mail e il destinatario è una persona.
• Se non l'avete ancora fatto, attivate la firma SMB e LDAP e la protezione estesa per l'autenticazione. Queste misure contrastano il relay per ogni futura variante di questo tipo di attacco, non solo per questo CVE.
• Bloccate il traffico SMB in uscita a livello di perimetro. Raramente vi è una ragione legittima per consentirlo.

CVE-2026-116928 — Componente di ricerca di Windows, esecuzione di codice da remoto

CRITICO · CVSS 9,8 · AV:N / PR:N / UI:N · Fattore scatenante: allegato indicizzato · Non ancora sfruttato

RCE pre-autenticazione senza interazione da parte dell'utente. Il dettaglio che la distingue dalle altre vulnerabilità con punteggio 9,8: un allegato dannoso inviato a un server Exchange viene elaborato automaticamente al momento dell'indicizzazione. Nessuno apre nulla. Per risolvere completamente il problema sono necessarie sia la patch di Windows che quella di Exchange.

In che modo gli hacker sfruttano questa vulnerabilità

• Invia un allegato personalizzato a qualsiasi casella di posta su un server Exchange con l'indicizzazione abilitata.
• L'indicizzatore di ricerca lo analizza ed esegue l'operazione prima ancora che un utente possa visualizzare il messaggio.

A cosa prestare attenzione

• Server Exchange con l'indicizzazione dei contenuti abilitata — ovvero la maggior parte di essi.
• Processi figlio inattesi generati dall'indicizzatore di ricerca o dai componenti di trasporto di Exchange.
• Server di file con Windows Search abilitato sulle condivisioni che accettano caricamenti.

Linee guida per la mitigazione

• Patch sia Windows che Exchange. La correzione è solo parziale e lascia aperta una vulnerabilità.
• Trattatelo con la stessa urgenza con cui trattate l’elemento sfruttato: senza autenticazione, senza interazione e tramite un meccanismo di distribuzione che ogni organizzazione utilizza già.
• Verifica che l'aggiornamento sia stato applicato a tutti i server del DAG, non solo a quello che hai testato.

CVE-2026-119958 — LDAP di Windows, esecuzione di codice remoto

CRITICO · CVSS 9,8 · Scrittura fuori dai limiti · AV:N / PR:N / UI:N · Non ancora sfruttata

Scrittura non autenticata fuori dai limiti consentiti nel servizio LDAP. Il servizio LDAP è in esecuzione su ogni controller di dominio, il che rende questo problema l’equivalente, per il mese di novembre, del problema relativo al DNS: il servizio vulnerabile e le risorse più preziose si trovano sullo stesso host.

In che modo gli hacker sfruttano questa vulnerabilità

• Invia traffico LDAP personalizzato a un controller di dominio raggiungibile. Senza credenziali, senza cliccare su nulla.
• Eseguire nel contesto del servizio LDAP — su un DC, ovvero nella directory stessa.

A cosa prestare attenzione

• Quali reti riescono a raggiungere il 389/636 nei vostri centri dati? La risposta è solitamente “più di quante ne vorreste”.
• Il servizio LDAP si blocca o si riavvia senza che sia stata apportata alcuna modifica corrispondente.
• DC esposti a segmenti guest, di accesso remoto o OT.

Linee guida per la mitigazione

• Prima i controller di dominio, poi il resto del parco server. Tutto il resto nella directory dipende da loro.
• Limitare l'accessibilità LDAP durante l'implementazione. I controlli di rete consentono di guadagnare tempo; solo la patch risolve il bug.
• Già che ci sei: se la firma LDAP non è obbligatoria, questo mese ti offre due motivi indipendenti per rimediare a questa situazione.

CVE-2026-88218 — Vulnerabilità " Server" nel DNS di Windows, esecuzione di codice remoto

CRITICO · CVSS 9,8 · AV:N / PR:N / UI:N · 4 CVE relativi al DNS in questo ciclo · Non ancora sfruttato

Esecuzione di codice remoto senza autenticazione nel DNS di Windows, una delle quattro vulnerabilità del DNS individuate in questo ciclo e parte delle 30 CVE che ZDI considera “wormable”. Nella maggior parte degli ambienti, il servizio DNS Server è in esecuzione sui controller di dominio, quindi questa vulnerabilità riguarda lo stesso ambito della vulnerabilità LDAP sopra citata — il che significa che un’unica finestra di manutenzione può risolvere entrambe.

In che modo gli hacker sfruttano questa vulnerabilità

• Invia un pacchetto personalizzato a qualsiasi server DNS Windows raggiungibile.
• Eseguire nel contesto del servizio DNS; su un DC co-residente ciò costituisce una via diretta alla compromissione del dominio.

A cosa prestare attenzione

• Server DNS che condividono un host con Active Directory: effettuare l'inventario prima di pianificare l'operazione, non durante.
• Il DNS di Windows è raggiungibile dalle VLAN degli utenti, dagli intervalli di accesso remoto o da Internet.
• Le altre tre vulnerabilità CVE relative al DNS presenti in questa versione: applicare le patch a tutte insieme.

Linee guida per la mitigazione

• Abbinare l'applicazione della patch LDAP a un'unica finestra di manutenzione del DC. La presenza di due versioni 9.8 sullo stesso host giustifica l'anticipo della finestra.
• Il fatto che l'accesso sia limitato all'interno dell'azienda non costituisce una misura di mitigazione quando il punto di accesso iniziale è un laptop vittima di un attacco di phishing.
• Verificare lo stato di funzionamento del servizio dopo l'applicazione del rollup: quattro correzioni DNS in un unico ciclo rappresentano un'area di regressione più ampia del solito.

CVE-2026-119952 — Schannel di Windows, esecuzione di codice da remoto

CRITICO · CVSS 8.1 · Probabilità di sfruttamento elevata · AV:N / PR:N / UI:N · Non ancora sfruttata

Schannel è l'implementazione TLS di Windows: è alla base di qualsiasi processo che interrompa una connessione crittografata. Pur avendo un punteggio inferiore rispetto alle vulnerabilità sopra citate, è una delle pochissime a ricevere la valutazione “Exploitation More Likely” in questa versione, il che indica che Microsoft sta segnalando da dove si aspetta che provenga il prossimo attacco.

In che modo gli hacker sfruttano questa vulnerabilità

• Accedi a qualsiasi servizio che utilizzi Schannel per la terminazione TLS: IIS, RDP, LDAPS, SMB su TLS.
• Da eseguire durante la fase di handshake, prima che si giunga all'autenticazione.

A cosa prestare attenzione

• Ogni servizio Windows esposto a Internet che gestisce il protocollo TLS. L'area di vulnerabilità è più ampia di quanto possa suggerire il nome di un singolo prodotto.
• Errori Schannel o errori di handshake che si accumulano nei registri degli eventi di sistema.

Linee guida per la mitigazione

• Attribuire maggiore peso alla valutazione di Microsoft rispetto al punteggio 8,1. La dicitura “Exploitation More Likely” (sfruttamento più probabile) è un giudizio prospettico; il CVSS è una descrizione statica.
• Prima i terminatori TLS esposti a Internet, poi quelli interni.
• Non esiste alcuna soluzione alternativa di configurazione: Schannel non può essere disabilitato. L'aggiornamento è l'unico modo per gestirlo.

Pubblicazioni di terze parti

Dove avviene effettivamente lo sfruttamento. Quarantadue delle quarantatré vulnerabilità CVE per cui è stato confermato lo sfruttamento in questo periodo provenivano da fonti esterne a Microsoft. Nove di queste riguardano dispositivi periferici o di perimetro.

PHP e Palo Alto

php2shell · EPSS 0,9999 · VULNERABILE

CVE-2026-109618 e CVE-2026-109619 sono vulnerabilità RCE senza autenticazione nel stesso core di PHP, rese note il 21 ottobre. Una causa un danneggiamento della memoria durante la pulizia della richiesta a seguito di una condizione di esaurimento della memoria; l’altra riutilizza uno stato di richiesta obsoleto su un worker riciclato. Colpiscono ogni installazione di PHP che gestisce richieste web — PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed — con mod_php che presenta il rischio maggiore, poiché lo sfruttamento avviene prima dell’esecuzione del codice dell’applicazione. Corrette nelle versioni PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

L'honeypot MadPot di Amazon ha registrato un tentativo di attacco il 17 ottobre, quattro giorni prima della divulgazione e mentre era ancora soggetto a embargo. Gli aggressori lo hanno combinato con un bug di escalation dei privilegi del kernel denominato «Fragnesia» per distribuire web shell con privilegi di root sulle interfacce di gestione dei firewall Palo Alto; Dream Research ne ha individuate almeno 25 compromesse. Palo Alto: «Non è necessaria alcuna configurazione particolare per essere colpiti». Secondo SecurityWeek, gli aggressori hanno utilizzato l’intelligenza artificiale per costruire la catena di attacchi.

Ivanti

Connetti Secure · catena chiusa · SFRUTTATO

Il bollettino di ottobre segnalava che la catena Connect Secure presentava un anello non aggiornato. Ora è stata chiusa. CVE-2026-111357 (CVSS 8,8, autenticazione mancante nel servizio di manutenzione root dsinvoked) e CVE-2026-118527 (4,3, identificatori prevedibili che consentono il race condition nell’upload) sono stati corretti il 29 ottobre nelle versioni 25.1.1.3 e 22.8R2.6. Entrambe sono state inserite nel KEV il 30 ottobre; la scadenza per la 118527 è il 13 novembre, ovvero tra due giorni.

Vale la pena leggere l’analisi dettagliata di Volexity su UTA0576: la fase “dsinvoked” ha eseguito un payload Python che ha modificato temporaneamente una libreria in memoria, ha reindirizzato un’attività di manutenzione affinché venisse eseguita come root, quindi ha ripristinato la configurazione originale e lo stato della memoria. Nessuna web shell, nessuna backdoor persistente: i comandi venivano trasmessi tramite ripetute richieste HTTPS. La fase successiva allo sfruttamento ha permesso di estrarre le password amministrative LAPS di Windows e le chiavi di ripristino di BitLocker. L’apparecchio compromesso era completamente aggiornato al momento dell’attacco. «Un risultato pulito del controllo di integrità, di per sé, non esclude la compromissione.»

Adobe

110 CVE · 9 bollettini · CRITICO

Adobe Connect è la notizia principale — APSB26-191, 24 CVE di cui 18 critici, con un punteggio CVSS massimo di 10,0 e accessibili in rete senza autenticazione né interazione da parte dell’utente. ZDI lo definisce il bollettino Adobe più ampio e grave del mese. Experience Manager (APSB26-189) ne aggiunge altri 14, tra cui quattro con punteggio 9,9 che richiedono solo un account con privilegi limitati.

Solo questi due sono di Priorità 2; i restanti sette bollettini sono di Priorità 3. Nessuna delle vulnerabilità presenti nel lotto Adobe di questo mese è stata sfruttata, ma CVE-2026-48356, un caricamento di file senza restrizioni in Commerce e Magento, è stata inserita nel KEV il 27 ottobre con un EPSS pari a 0,475. Questo è il terzo mese consecutivo in cui è stato confermato lo sfruttamento di una vulnerabilità di Adobe Commerce.

SAP

43 note · 12 HotNews · CRITICO

Onapsis parla di un record: 43 note di sicurezza nuove e aggiornate, 12 HotNews e quattro vulnerabilità con punteggio CVSS 10.0, tutte senza autenticazione. Due di queste sono la coppia di vulnerabilità di corruzione della memoria ICM2SHELL: CVE-2026-76964 (NetWeaver AS ABAP) e CVE-2026-89126 (Web Dispatcher e HANA XSA). CVE-2026-89103 è PROXYGATE, un controllo degli accessi compromesso in SAP Gateway, mentre CVE-2026-120017 è la mancanza di autenticazione nel provider di servizi SAML2 di NetWeaver.

Due trappole operative. PROXYGATE richiede una modifica manuale dei parametri del profilo dopo l'applicazione della patch — la patch da sola non lo chiude. Inoltre, la soluzione alternativa che disabilita WebSocket per ICM2SHELL è espressamente sconsigliata da SAP. I ricercatori hanno fornito a SAP exploit funzionanti; non sono stati ancora segnalati casi di sfruttamento in ambiente reale.

Dispositivi Edge

Citrix · SonicWall · Barracuda · SFRUTTATI

Barracuda È l'ultima novità: CVE-2026-116606 (bypass dell'autenticazione) e CVE-2026-111560 (iniezione di comandi nel sistema operativo) sono esplicitamente concatenati; Barracuda conferma attacchi contro «un numero limitato di organizzazioni», watchTowr ha pubblicato il codice dell'exploit ed entrambi sono previsti per il 13 novembre.

La vulnerabilità SonicWall CVE-2026-19868 (7.1) consente a un utente in possesso di credenziali valide non SAML di aggirare l’autenticazione a più fattori (MFA) imposta da SAML sulla VPN SSL. Non è disponibile alcuna soluzione alternativa; le correzioni sono le versioni 7.3.4-7013 e 8.2.3-8015, previste per il 20 novembre. Citrix ha rilasciato la correzione per CVE-2026-107406 (CVSS 9.5, NetScaler configurato per SAML) l’8 ottobre, oltre a un pacchetto cumulativo separato per php2shell nelle versioni 14.1-73.49 / 13.1-64.32 che include anche le correzioni relative a settembre e ottobre.

Mozilla Firefox

160 · 99 CVE · NESSUNLO SFRUTTAMENTO

Firefox 160 (MFSA 2026-125) è stato rilasciato nel Patch Tuesday con 99 CVE: 57 di livello “Alto”, 24 di livello “Moderato”, 18 di livello “Basso” e nessuna di livello “Critico”. Sono state rilasciate contemporaneamente anche le versioni ESR 115.45 e 153.7, oltre a Thunderbird 160 e 153.7. Novantanove vulnerabilità in un'unica versione del browser sono ben al di sopra della media storica di Mozilla e seguono lo stesso andamento di Microsoft, sebbene Mozilla non abbia pubblicamente attribuito questo risultato all'individuazione assistita dall'intelligenza artificiale.

Apple

Un CVE del 2024, già sfruttato a fini malevoli · SFRUTTATO

Il 9 novembre Apple ha distribuito le versioni 27.2.1, 26.7.3 e 18.7.12 di iOS/iPadOS, oltre a tre rami di macOS. Il fatto che ci siano tre rami di iOS contemporaneamente è di per sé un segnale — Lee Neely di SANS: «Presto attenzione quando Apple rilascia correzioni per più di due versioni».

La vulnerabilità più interessante è più datata. CVE-2024-27834 — una vulnerabilità di bypass dell’autenticazione tramite puntatore con punteggio CVSS 5,5, per la quale Apple ha rilasciato una patch nel maggio 2024 — è stata inserita nel KEV il 4 novembre. Sekoia attribuisce lo sfruttamento di questa vulnerabilità a APT29 / Midnight Blizzard, diffuso tramite siti legittimi compromessi e una violazione della catena di approvvigionamento del tracker SEO Plerdy, in una catena zero-click che culminava in un infostealer per il furto di cookie. Un bug di media gravità risalente a due anni e mezzo fa, sfruttato da un attore statale.

Cosa significa questo se effettui spedizioni Software

Il filo conduttore di questo mese non è il volume. È il fatto che i due eventi più rilevanti — la scoperta dell’unica vulnerabilità di Microsoft sfruttata e la compromissione dei firewall di Palo Alto — abbiano entrambi coinvolto l’assistenza dell’intelligenza artificiale, da parti opposte, a distanza di tre settimane l’uno dall’altro. Un ricercatore l’ha utilizzata per individuare un bug che era già stato sfruttato. Un hacker l’ha utilizzata per creare una catena di attacchi che ha permesso di ottenere il controllo degli apparecchi in produzione.

E ciò che ha effettivamente permesso agli hacker di violare i sistemi è stato PHP: una dipendenza, non un prodotto. Sapere cosa c'è all'interno del proprio prodotto e sui propri endpoint prima che venga pubblicato un CVE è la chiave di tutto. È proprio questa la catena che la dashboard OESIS Detection & Patching mappa: quale applicazione è installata, quali CVE presenta e se esiste già una patch.

Matrice delle priorità

Quattro fasce, dalla più grave alla meno grave. La classificazione è determinata dall’esposizione e dallo sfruttamento, non dal punteggio CVSS — motivo per cui un 6,5 si trova in cima alla classifica mentre un 10,0 è in fondo. L’analisi si concentra sul software effettivamente utilizzato dalla maggior parte delle organizzazioni; il set di dati completo copre tutte le 43 vulnerabilità CVE sfruttate e tutti i fornitori coinvolti nel ciclo.

P1 — ORA Entro 24 ore 19 su 43 sfruttati

Sfruttamento confermato in ambiente reale — osservato, non previsto. Ordinati in base alla data più recente: le righe in cima sono quelle che non sono state trattate nell'ultimo ciclo.

Le vulnerabilità relative a Microsoft e Chrome non presentano valori EPSS poiché il modello non le aveva ancora valutate al momento dell'acquisizione di questa istantanea. Le restanti 24 vulnerabilità CVE sfruttate riguardano server multimediali, dispositivi di backup, strumenti di sviluppo e il lotto di vulnerabilità legacy dell'8 ottobre; tutte e 43 sono ricercabili nella dashboard CVE di OPSWAT .

P2 — QUESTA SETTIMANA Entro 72 ore 12 su 32

Windows, senza autenticazione, raggiungibile in rete, senza interazione da parte dell’utente. Non è necessario cliccare su nulla affinché questi elementi modifichino il vostro livello di esposizione. Server ruoli in primo luogo — e si noti che sia il DNS che l’LDAP finiscono sui controller di dominio.

Questo mese non è presente la rubrica EPSS. Al momento della creazione di questa istantanea, il modello aveva rilevato solo 1 dei 1.095 CVE di Microsoft, a fronte di una copertura quasi totale registrata a ottobre, in un'analisi eseguita quasi alla stessa ora. I punteggi EPSS vengono forniti secondo una tempistica propria, e una colonna composta da trattini indicherebbe un rischio basso piuttosto che l'assenza di dati. Per quanto riguarda gli exploit confermati, non è mai stato comunque il giusto indicatore di classificazione.

P3 — QUESTO CICLO Entro 7 giorni 8 CVE

Sono elementi critici e raggiungibili, ma ciascuno richiede una precondizione: una credenziale, una sessione autenticata, un file consegnato. La riga “Proof-of-Concept” va inserita qui in base alla maturità dell’exploit, indipendentemente dal punteggio.

P4 — NESSUNA AZIONE Solo a titolo informativo 4 CVE

Lato servizio. Microsoft ha risolto questi problemi all'interno del proprio ambiente; non c'è nulla che il cliente debba implementare. Ogni mese pubblicano una classifica basata sul punteggio CVSS grezzo — ed è proprio per questo che sono elencati qui, anziché essere tralasciati per evitare di creare confusione.

Il piano delle 72 ore

Cosa non ti dice la matrice delle priorità.

Quali sono i prossimi appuntamenti in programma?

Fonti

Innanzitutto, gli avvisi dei fornitori principali.

1. Microsoft Security Response Center, documento CVRF 2026-Nov, revisione 2026-11-11 — elenco CVE canonico, valori CVSS assegnati da Microsoft e vettori temporali.
2. Catalogo delle vulnerabilità note e sfruttate della CISA e FIRST EPSS.
3. Zero Day Initiative, Analisi degli aggiornamenti di sicurezza di novembre 2026.
4. Tenable: il Patch Tuesday di novembre 2026 risolve 1.093 CVE; Krebs on Security; Rapid7.
5. Avvisi del PHP Group relativi a CVE-2026-109618 e CVE-2026-109619; tracker del prodotto php2shell dell’NCSC-NL; SecurityWeek sulle violazioni subite da Palo Alto.
6. Volexity su UTA0576 e Ivanti Connect Secure; avvisi di sicurezza di Ivanti relativi a CVE-2026-111357 e CVE-2026-118527.
7. Onapsis, SAP Security Patch Day, novembre 2026.
8. Bollettini sulla sicurezza di Adobe (APSB26-191, -189 e altri).
9. Mozilla, MFSA 2026-125 (Firefox 160).
10. Citrix CTX697191; SonicWall SNWLID-2026-0014; avvisi di sicurezza Barracuda; The Hacker News su CVE-2024-27834 e APT29.
11. VulnCheck sulle vulnerabilità individuate dall'intelligenza artificiale e sui tassi di sfruttamento.

Metodologia. Il conteggio riportato si riferisce ai CVE classificati da Microsoft con un punteggio di impatto nel CVRF, esclusi 267 CVE di terze parti ripubblicati. I valori CVSS e di maturità degli exploit di Microsoft sono assegnati dal fornitore in base al CVRF; i valori CVSS di terze parti provengono dall’NVD o dal fornitore stesso, nei casi in cui la CISA non ne pubblichi uno. L’EPSS è un modello predittivo e viene riportato, ma non viene mai utilizzato per classificare gli exploit confermati: questo mese, al momento dell’estrazione dei dati, aveva assegnato un punteggio a un solo CVE Microsoft su 1.095, motivo per cui è assente dalle tabelle di Microsoft. La matrice di priorità è limitata al software aziendale più diffuso; il set di dati sottostante copre tutte le 43 CVE per cui è stato confermato lo sfruttamento tra l’8 ottobre e il 10 novembre, nonché tutti i fornitori inclusi nel ciclo. Lo stato di sfruttamento riflette il KEV della CISA e la conferma da parte del fornitore stesso, non le affermazioni di terze parti.

Dati aggiornati all'11 novembre 2026. CISA KEV ed EPSS vengono aggiornati continuamente e Microsoft rivede il CVRF dopo il rilascio; i dati qui riportati riflettono la revisione dell'11 novembre e lo stato del catalogo in quella mattinata. Le linee guida per la mitigazione sono di carattere generale e derivano dalle caratteristiche pubblicate relative a ciascuna vulnerabilità; non sostituiscono i test effettuati nel proprio ambiente.