Tra 974 correzioni, due zero-day Windows portano a privilegi SYSTEM
Il rilascio record di Microsoft corregge 974 vulnerabilità, ma due zero-day di Windows, che l’azienda conferma già sfruttati, possono trasformare un accesso limitato in privilegi SYSTEM.
CVE-2026-85880 permette a un programma confinato nell’AppContainer di uscire dal sandbox sfruttando una falla in ALPC, il meccanismo con cui i componenti Windows comunicano localmente. Non serve un altro clic dell’utente. CVE-2026-81963 consente invece un’elevazione locale tramite una gestione errata dei collegamenti nello stack di Windows Update.
Per chi amministra endpoint e server Windows, un accesso iniziale limitato può diventare controllo dell’host. Con due falle già sfruttate disperse in un aggiornamento così ampio, la priorità delle correzioni è il punto decisivo.
CVSS 7.8 HIGH: improper link resolution before file access ('link following') in Windows Update Stack allows an authorized attacker… Patch Microsoft: 5122871.
Microsoft Releases September 2026 Security Updates
JPCERT-AT-2026-0025 JPCERT/CC 2026-09-09 Microsoft Corporation September 2026 Security Updates https://msrc.microsoft.com/update-guide/en-US/releaseNote/2026-Sep According to Microsoft, among the vulnerabilities, the following vulnerability has been confirmed to be exploited in…
Microsoft discloses two actively exploited zero-days among 974 vulnerabilities
While the vendor hit another monthly record, it hasn’t resulted in a flood of active exploits. Researchers encourage customers to focus on their specific areas of risk and exposure.