Microsoft ha chiuso settembre con un Patch Tuesday da circa 974 CVE, il più grande mai pubblicato, e con due zero-day Windows già sfruttati in attacco. Nello stesso ciclo, Adobe ha corretto anche un bug in Commerce/Magento sotto attacco attivo, portando nello stesso finestra di patch sia il volume sia l’urgenza.
Su Windows, CVE-2026-85880 e CVE-2026-81963 permettono a un attaccante locale con un punto d’appoggio di salire fino a SYSTEM: uno abusa del processo di aggiornamento, l’altro dell’Advanced Local Procedure Call. In pratica, una foothold può trasformarsi in pieno controllo del sistema; su Adobe Commerce, il difetto sfruttato apre la strada a RCE e ha una scadenza ravvicinata sul fronte federale.
Per chi gestisce Windows, Office e Adobe Commerce, il problema non è solo la somma delle CVE ma la capacità di testare e distribuire le correzioni senza bloccare il rilascio operativo. Qui la pressione vera è sul collo di bottiglia del patching: più il lotto cresce, più diventa facile ritardare proprio le correzioni che chiudono i percorsi già sfruttati.