Patch Tuesday Microsoft di febbraio 2026: 6 zero-day già sfruttati, cosa fare subito

“Zero-day sfruttata in the wild” è una frase che spesso viene letta come etichetta giornalistica. In realtà è un dato di rischio: vuol dire che l’attacco è avvenuto quando non esisteva ancora una correzione pubblica. L’exploit non è un’ipotesi, è un fatto osservabile.

La seconda parte, “in the wild”, è la più sottovalutata. Segnala che non siamo davanti a un proof of concept dimostrativo ma a un uso in campagne reali, con vittime reali. In questo scenario il tempo diventa un moltiplicatore: più aspettiamo, più il numero di macchine esposte resta alto e più cresce la probabilità che l’attacco trovi un varco.

C’è anche un meccanismo tecnico che accelera tutto dopo il Patch Tuesday. Quando la patch è pubblica, un attaccante può studiare la differenza tra prima e dopo e costruire varianti di exploit con meno sforzo. Qui, però, l’exploit era già attivo prima. Questo è il motivo per cui, in febbraio, non possiamo ragionare in settimane.

Abbiamo contato 58 nuove CVE nel pacchetto Microsoft del mese. Il perimetro non è “solo Windows”: dentro ci sono Windows e componenti, Office e componenti Office, Azure, Edge basato su Chromium, .NET e Visual Studio, GitHub Copilot, Exchange Server, Internet Explorer, Power BI, Hyper-V Server e Windows Subsystem for Linux. Nella release sono elencati anche aggiornamenti di terze parti e Chromium che portano il totale a 62.

Il dato che cambia la giornata resta un altro: sei vulnerabilità già sfruttate e tre anche pubblicamente note. Nessuna di queste è marcata come Critical, ed è proprio qui che tanti sbagliano lettura. In un mese normale la severità guida l’ordine. In un mese con zero-day in-the-wild, guida lo sfruttamento.

Sommario dei contenuti

• Le 6 zero-day: cosa sono e cosa fanno
• Tabella rapida: CVE, impatto e priorità
• Zero-day in the wild spiegata semplice
• Priorità di patching: ordine pratico
• Cosa fare subito se sei un utente
• Cosa fare subito se sei IT
• Verifica e hunting: controlli essenziali
• FAQ

Le 6 zero-day: cosa sono e cosa fanno

Le sei CVE già sfruttate si dividono in due blocchi, e questa divisione è il primo insight utile. Da una parte abbiamo tre Security Feature Bypass che mirano ai guard rail di Windows e Office. Dall’altra due Elevation of Privilege che portano a SYSTEM e un Denial of Service locale su un componente di connessione.

Le bypass sono un acceleratore di conversione. Quando un attaccante riesce a ridurre o saltare un avviso, aumenta la probabilità che un file venga eseguito e che un documento venga aperto senza freni. Le EoP sono l’altra metà della storia: una volta che un processo malevolo gira con privilegi bassi, l’escalation lo trasforma in compromissione piena. Il DoS, infine, è meno comune in campagne “classiche” ma lo vediamo in campo e quindi lo trattiamo come un rischio reale, non come curiosità.

Tabella rapida: CVE, impatto e priorità

Zero-day in the wild spiegata semplice

“Zero-day” non è un modo elegante per dire “grave”. È un modo preciso per dire “senza patch al momento dell’attacco”. Se una vulnerabilità viene sfruttata quando la correzione non esiste, significa che qualcuno ha investito per trovare e usare quel buco prima che noi potessimo chiuderlo.

“In the wild” aggiunge un dettaglio concreto: l’uso è stato osservato in attacchi reali. Questo cambia la gestione perché mette in conto due cose. Primo: l’attore malevolo ha già una catena funzionante, quindi non sta sperimentando. Secondo: quando la patch diventa pubblica, altri attori possono seguirne la traccia e scalare la stessa tecnica su più target.

Priorità di patching: ordine pratico

L’ordine non è un’opinione, è un calcolo. Partiamo dalle bypass perché sono spesso la prima porta di ingresso sulle workstation e puntano a farci eseguire cose che avremmo evitato. Subito dopo vengono le EoP, perché una volta che l’attaccante ha un processo su macchina, la differenza tra “incidente contenibile” e “incidente serio” è spesso l’ottenimento di privilegi elevati.

La seconda ondata riguarda il resto del pacchetto, con una regola semplice: patchare ciò che è esposto o centrale. Un esempio concreto: le vulnerabilità classificate come Critical su Azure includono componenti come Azure Front Door, Azure Arc e Azure Functions. In parallelo, alcune CVE con punteggi alti restano classificate come Important, e questo ci ricorda che la severità è una metrica tecnica mentre la priorità è una decisione operativa.

Cosa fare subito se sei un utente

Se usi Windows 10 o Windows 11, l’azione più efficace è banale e proprio per questo viene rimandata. Apri Impostazioni, vai su Windows Update, fai Cerca aggiornamenti, installa tutto e riavvia. Poi ripeti la verifica finché il sistema non risulta aggiornato.

Se hai Office, aggiornalo. Su Microsoft 365 Apps e su molte installazioni tradizionali l’update passa dalle opzioni dell’account di Office. Questo mese non è il caso di dire “tanto ho fatto Windows Update”, perché tra i sei zero-day c’è un bypass su Word.

Cosa fare subito se sei IT

La risposta migliore è una patch strategy a due velocità. Una ring ristretta per validare rapidamente e poi rollout accelerato sui sistemi che combinano esposizione e impatto: endpoint utente, host RDS, VDI, jump box, macchine di supporto remoto. Il target realistico, qui, è comprimere la finestra.

La review di Rapid7 mette in evidenza un punto che in redazione condividiamo: le bypass sono spesso usate per togliere barriere a catene di phishing e dropper, quindi la difesa non è solo “installare KB” ma anche rinforzare policy che impediscano a Office e alla shell di comportarsi come launcher. Se in azienda hai Defender e policy di hardening, questa è la giornata in cui hanno senso.

Verifica e hunting: controlli essenziali

La verifica non è un dettaglio amministrativo. È l’unico modo per evitare il falso senso di sicurezza del “l’update è partito”. Controlliamo patch installate, riavvii completati e versioni di Office nei canali aziendali. Solo dopo ha senso parlare di copertura.

Sul fronte hunting, cerchiamo pattern coerenti con questa classe di zero-day. Per le bypass: scorciatoie sospette e catene in cui Explorer o componenti web lanciano processi anomali. Per Word: documenti che innescano comportamenti fuori profilo, soprattutto quando un documento diventa un launcher. Per le EoP: segnali di escalation e post exploitation, quindi creazione di servizi, task e modifiche a gruppi privilegiati su macchine che non dovrebbero mostrare quel tipo di attività.

La cosa interessante di febbraio 2026 è la forma, non solo il numero. Tre bypass di sicurezza nello stesso ciclo, già sfruttate, ci dicono che l’attaccante sta lavorando sul punto in cui l’utente decide. Se elimini o riduci l’avviso, aumenti la percentuale di esecuzioni riuscite. È un ragionamento “di prodotto”, applicato al malware.

Le due escalation a SYSTEM completano il disegno. In un ambiente reale, l’accesso iniziale spesso non è amministrativo. L’attaccante entra con poco, poi sale. È il passaggio che trasforma un’infezione in compromissione profonda e rende più probabile persistenza, furto di credenziali e movimento laterale.

Il terzo segnale è il DoS. Non è il classico exploit che fa headline, però quando viene usato in attacchi reali significa che qualcuno ha trovato utile interrompere un servizio, degradare la connettività o creare caos operativo. In un contesto aziendale, il caos è spesso un acceleratore di errori.

A cura di Junior Cristarella.