Patch Tuesday gennaio 2026: Microsoft corregge 112 vulnerabilità, inclusa una zero-day già sfruttata

Microsoft rilascia gli aggiornamenti di gennaio 2026 con 112 correzioni di sicurezza per Windows 11 e 10, tra cui una vulnerabilità zero-day attivamente sfrutt…

Contenuto

Patch Tuesday gennaio 2026: Microsoft corregge 112 vulnerabilità, inclusa una zero-day già sfruttata

Scopri anche

Patch Tuesday gennaio 2026: Microsoft corregge 112 vulnerabilità, inclusa una zero-day già sfruttata

Patch Tuesday gennaio 2026: Microsoft corregge 112 vulnerabilità, inclusa una zero-day già sfruttata

In questo articolo:

Panoramica degli aggiornamenti di sicurezza

⬆ Torna su Microsoft ha inaugurato l'anno con il consueto Patch Tuesday di gennaio 2026, distribuendo correzioni per 112 vulnerabilità che interessano vari aspetti del sistema operativo Windows e componenti critici dell'ecosistema Microsoft. Questo aggiornamento mensile rappresenta il secondo ciclo consecutivo senza vulnerabilità critiche dichiarate, mantenendo un pattern consolidato dalla fine del 2025. L'intervento si concentra principalmente sulla sicurezza del sistema, risolvendo anche alcuni bug e implementando miglioramenti all'esperienza utente. Tuttavia, a differenza dei mesi precedenti, questo aggiornamento non include le nuove funzionalità normalmente diffuse tramite aggiornamenti facoltativi, poiché a dicembre non è stato rilasciato alcun aggiornamento di questo tipo.

Distribuzione per versioni di Windows 11

⬆ Torna su Il rilascio del Patch Tuesday di gennaio 2026 coinvolge tutte le iterazioni di Windows 11 supportate, con build specifiche per ciascuna versione. Per i PC che eseguono la versione più recente 25H2 arriva la build 26200.7623 (KB5074109), mentre per la versione 24H2 viene distribuita la build 26100.7623 (stesso codice aggiornamento KB5074109). Per la versione 23H2 meno recente, Microsoft ha preparato la build 22631.6491 (KB5073455). Questa suddivisione per versioni garantisce che ogni configurazione riceva aggiornamenti ottimizzati per le specifiche caratteristiche del sistema. Le note di rilascio complete sono disponibili sul portale del supporto Microsoft, con pagine dedicate per le versioni 25H2/24H2 e 23H2.

La vulnerabilità zero-day CVE-2026-20805

⬆ Torna su Tra le 115 vulnerabilità risolte (112 identificate da Microsoft e 3 da terzi), spicca la CVE-2026-20805, classificata come "sfruttata attivamente" e già aggiunta al catalogo delle vulnerabilità sfruttate conosciute dal Cybersecurity and Infrastructure Security Agency. Si tratta di un difetto di divulgazione delle informazioni con rating CVSS 5.5 che coinvolge il Desktop Window Manager. Secondo Dustin Childs di Trend Micro's Zero Day Initiative, le vulnerabilità di divulgazione delle informazioni vengono sfruttate sporadicamente in ambienti reali, ma non frequentemente. Tuttavia, questo caso dimostra come le perdite di memoria possano essere importanti quanto i bug di esecuzione del codice, poiché rendono le esecuzioni di codice remote più affidabili. Jack Bicer di Action1 ha sottolineato che la memoria esposta dallo sfruttamento di CVE-2026-20805 può minare le difese e potenziare exploit aggiuntivi, aumentando il rischio di attacchi multi-stage successful. I dettagli della memoria trapelata possono essere combinati con altre vulnerabilità per ottenere l'escalation dei privilegi o il furto di dati.

Condizioni di sfruttamento e impatto

⬆ Torna su Microsoft non ha specificato quanti attacchi siano collegati alla zero-day, ma l'exploitation richiede che un attaccante abbia accesso locale sul sistema target. Satnam Narang di Tenable ha osservato che sebbene Desktop Window Manager sia un componente frequente nei Patch Tuesday con 20 CVE corretti in questa libreria dal 2022, questa è la prima volta che un bug di divulgazione delle informazioni in questo componente viene sfruttato attivamente. Storicamente, gli attaccanti hanno utilizzato questo componente per scalare la ladder dei privilegi, rendendo particolarmente significativa la correzione di questa vulnerabilità.

Altre vulnerabilità significative

⬆ Torna su Oltre alla zero-day, Microsoft ha identificato diversi difetti di alta gravità tra le 112 vulnerabilità corrette. Le più severe includono CVE-2026-20947 e CVE-2026-20963 che interessano Microsoft Office SharePoint, CVE-2026-20868 che colpisce Windows Routing and Remote Access Service, CVE-2026-20952 e CVE-2026-20955 per Microsoft Office, e CVE-2026-20944 per Microsoft Office Word. Microsoft ha inoltre segnalato otto vulnerabilità, ciascuna con rating CVSS 7.8, come più probabili da sfruttare nel corso del mese. L'elenco completo delle vulnerabilità affrontate questo mese è disponibile nel Security Response Center di Microsoft.

Supporto continuo per Windows 10

⬆ Torna su Nonostante Windows 10 sia ufficialmente uscito di scena il 14 ottobre 2025, Microsoft continua a distribuire aggiornamenti critici attraverso il programma Extended Security Updates (ESU). Per gli utenti che hanno aderito a questo programma, sono disponibili nuove build per le versioni 21H2 (build 19044.6809) e 22H2 (build 19045.6809), entrambe con codice aggiornamento KB5073724. Questo approccio garantisce una transizione graduale per le organizzazioni che necessitano di tempo aggiuntivo per migrare completamente a Windows 11, mantenendo standard di sicurezza adeguati durante il periodo di estensione del supporto.

Questo articolo è stato redatto esclusivamente sulla base delle fonti elencate, senza aggiunte speculative o informazioni esterne.

Fonti

⬆ Torna su

In breve

  • microsoft
  • windows
  • vulnerabilità
  • zero-day

Link utili

Apri l'articolo su DeafNews