Microsoft corregge un numero record di falle: due critiche permettono di prendere il controllo di Windows

Ogni secondo martedì del mese Microsoft pubblica i suoi aggiornamenti di sicurezza, il cosiddetto "Patch Tuesday". Quello di giugno è stato eccezionale per dimensioni: circa 200 vulnerabilità corrette in un colpo solo, un numero da record.

A preoccupare non è tanto la quantità quanto la gravità di due falle, entrambe con il punteggio massimo di pericolosità di 9,8 su 10. La prima, CVE-2026-45657, risiede nel cuore del sistema operativo, il kernel di Windows; la seconda, CVE-2026-47291, nel componente HTTP.sys che gestisce le richieste web. Entrambe consentono a un attaccante di eseguire codice da remoto senza autenticazione e senza alcuna interazione da parte della vittima — la combinazione più temuta, perché apre la strada alla diffusione automatica come un verme informatico.

È un promemoria di un principio elementare: aggiornare non è un'incombenza fastidiosa, è la prima linea di difesa. Le falle critiche nei sistemi più diffusi sono il bersaglio preferito di criminali e gruppi statali, che corrono a sfruttarle prima che le patch vengano applicate. La finestra tra la pubblicazione di una correzione e la sua installazione è esattamente il tempo in cui si gioca la sicurezza di un'organizzazione.

Every second Tuesday of the month Microsoft publishes its security updates, the so-called "Patch Tuesday". June's was exceptional in size: about 200 vulnerabilities fixed in one go, a record number.

What worries is not so much the quantity as the severity of two flaws, both with the maximum danger score of 9.8 out of 10. The first, CVE-2026-45657, sits in the heart of the operating system, the Windows kernel; the second, CVE-2026-47291, in the HTTP.sys component that handles web requests. Both let an attacker execute code remotely without authentication and with no interaction from the victim — the most feared combination, because it opens the way to automatic spread like a computer worm.

It is a reminder of an elementary principle: updating is not an annoying chore, it is the first line of defense. Critical flaws in the most widespread systems are the favorite target of criminals and state groups, who rush to exploit them before patches are applied. The window between the release of a fix and its installation is exactly when an organization's security is decided.