Patch Microsoft 2026: il record che fa paura
Novecentosettantadue vulnerabilità corrette in un mese. Non è un refuso: è il dato reale che Microsoft ha registrato a settembre 2026, e rappresenta il terzo record consecutivo di patch per il gigante di Redmond. Due mesi prima ne aveva corrette 570, il mese scorso 620. L’escalation non lascia spazio a interpretazioni confortanti. Eppure, proprio nel momento in cui le aziende stanno sfornando numeri senza precedenti di aggiornamenti di sicurezza, le voci più autorevoli del settore avvertono: quello che state vedendo potrebbe non bastare affatto.
Il nuovo normale della cascata di patch
La tendenza non riguarda solo Microsoft. Google ha pubblicato numeri altrettanto impressionanti, come molti altri vendor. A inizio settembre, un’alleanza senza precedenti—OpenAI, Anthropic, Amazon Web Services, Google, Microsoft, e oltre cento organizzazioni—ha firmato una lettera aperta lanciando un’allerta ancora più severa: la finestra per patchare le vulnerabilità si sta restringendo, e un diluvio di attacchi potenziati dall’intelligenza artificiale sta per arrivare. Non è uno scenario apocalittico disegnato da esperti allarmisti, ma l’annuncio consapevole di un pericolo riconosciuto dall’intera industria. Dustin Childs, ricercatore presso lo Zero Day Initiative, ha etichettato questi picchi di patch come il “nuovo normale” dell’era attuale. L’industria ha reagito con l’unico strumento che conosce: accelerare il rilascio di aggiornamenti fino a numeri senza precedenti. È razionale, è necessario, ma basta davvero?
Il numerico di una sconfitta silenziosa
Ecco il punto che i comunicati stampa evitano di affrontare: secondo Childs e molti esperti di sicurezza, anche con questi numeri record di patch, il danno inflitto dagli attacchi guidati dall’IA potrebbe comunque risultare sostanziale. La corsa ai numeri nasconde un’ammissione difficile—l’industria non sta vincendo questa guerra, sta cercando di limitare i danni. Quando una patch è necessaria, significa che il buco esiste già, e che nel frattempo qualcuno potrebbe già sfruttarlo. Quando le vulnerabilità crescono a questa velocità, e gli attacchi sono assistiti da intelligenza artificiale, il vantaggio è interamente dalla parte di chi attacca. Microsoft, Google e gli altri stanno facendo quello che possono: tappare i buchi il più velocemente possibile. Ma se i buchi continueranno a moltiplicarsi più velocemente dei patch—e tutto suggerisce che sarà così—la difesa rimane sempre un passo indietro. Il numero 972 non è quindi un trionfo di responsabilità tecnologica, è la radiografia di un problema strutturale.
In un mondo dove il tempo è l’elemento più prezioso, e dove gli attacchi sfruttano l’intelligenza artificiale per individuare e colpire vulnerabilità ancora ignote ai difensori, è lecito domandarsi se la soluzione sia davvero quella di correre più velocemente. Fino a oggi, l’industria ha risposto con la velocità. Forse, però, la vera sfida non è fare più patch, ma ripensare il concetto stesso di sicurezza software. Per ora, però, siamo ancora fermi alle soluzioni di ieri.
Domande frequenti
Cosa devo fare se uso Windows per proteggermi da queste vulnerabilità?
Applicare i patch di Microsoft il prima possibile quando vengono rilasciati. A settembre 2026, 972 vulnerabilità sono state corrette: rimandare gli aggiornamenti aumenta il rischio di sfruttamento, specialmente da attacchi automatizzati tramite intelligenza artificiale.
Perché il numero di vulnerabilità scoperte sta crescendo così rapidamente?
Una combinazione di fattori: software più complesso, ricerca di sicurezza più accurata, e algoritmi di intelligenza artificiale che riescono a identificare difetti nel codice più velocemente rispetto agli umani. Il numero di buchi scoperti cresce più velocemente della capacità di ripararli.
Sono davvero al sicuro se applico tutti i patch?
I patch riducono significativamente il rischio, ma non lo eliminano. Gli attacchi AI continuano a trovare nuove vulnerabilità: la sicurezza assoluta non esiste. L’importante è applicare gli aggiornamenti tempestivamente e seguire buone pratiche di cybersecurity.
Fonte: Ars Technica
