Patch Tuesday novembre 2026: zero-day in Outlook

Cosa ha corretto Microsoft

Il Patch Tuesday è il secondo martedì del mese, quando Microsoft pubblica gli aggiornamenti di sicurezza. Il 10 novembre 2026 Microsoft ha corretto oltre mille falle, ma il numero esatto dipende da chi conta: 1.235 secondo BleepingComputer e Qualys, circa 1.090 nuove CVE secondo la Zero Day Initiative, 1.362 CVE nel file ufficiale di Microsoft (MSRC), che include anche falle corrette prima nello stesso mese.

Anche le falle critiche cambiano: 66 secondo BleepingComputer, 63 secondo Qualys, 69 contando le CVE con gravità Critical nel file MSRC. Non sono errori: ognuno include o esclude pezzi diversi. A ottobre 2026 erano state circa 1.400 (1.411 per BleepingComputer), quindi novembre non è un record.

Lo zero-day di Outlook

Uno zero-day è una falla già sfruttata dagli attaccanti prima che esista la correzione. Questo mese ce n'è uno solo: CVE-2026-124194, di tipo spoofing (falsificazione), in Microsoft Outlook. È l'unica falla sfruttata di questo mese secondo Microsoft, ZDI e Qualys. Microsoft la descrive come Outlook Spoofing; ha punteggio CVSS 6.5 e per la Zero Day Initiative è di gravità Moderata, anche se è già sfruttata. La CISA, l'agenzia USA per la sicurezza informatica, l'ha aggiunta al suo elenco delle falle sfruttate il 10 novembre, con scadenza 24 novembre 2026: è l'obbligo di correzione per le agenzie federali americane, non una scadenza per chi legge, ma indica che la falla è presa sul serio.

Secondo la Zero Day Initiative, gli attaccanti la usano per rubare gli hash NTLM degli account, cioè un'impronta della password che Windows usa per riconoscerti in rete. Un file di messaggio costruito apposta fa collegare Outlook a una posizione di rete dell'attaccante senza il solito avviso sul contenuto esterno. Con l'hash l'attaccante può autenticarsi al posto dell'utente (lo dicono Microsoft e la Zero Day Initiative); per BleepingComputer gli hash NTLMv2 così esposti si possono anche violare offline.

Microsoft precisa che serve la rete e un'azione dell'utente: l'attaccante, non autenticato, deve inviare il file e convincerti ad aprirlo.

Cosa non si sa ancora

I numeri. Totali e falle critiche cambiano da fonte a fonte (vedi sopra) e non siamo in grado di dire quale conteggio sia "giusto".

I dettagli della falla. Secondo il file MSRC sono interessati Microsoft 365 Apps for Enterprise, Office LTSC 2021 e Office LTSC 2024 (versioni a 32 e 64 bit), e la scoperta è attribuita a Benoît Sevens (che ha lavorato con Claude di Anthropic) e a un ricercatore noto come "nono". Non abbiamo trovato chi la sfrutta e contro chi, né quante vittime ci siano.

Altre falle Outlook, forse più pericolose per te. Nel file MSRC le falle di esecuzione di codice da remoto in Outlook sono 18, nessuna indicata come sfruttata. Tre sono critiche, con CVSS 8.8 (CVE-2026-110043, CVE-2026-110068 e CVE-2026-111309): per tutte e tre, secondo MSRC, il riquadro di anteprima è un possibile punto d'attacco, cioè basta visualizzare la mail. Le altre 15 sono di gravità Important. Lo zero-day richiede invece un'azione dell'utente e non si sfrutta dall'anteprima: per chi legge, il rischio delle tre critiche è potenzialmente più alto, anche se per ora non risultano sfruttate. Un motivo in più per aggiornare Office.

Cosa fare

Il rimedio indicato è installare gli aggiornamenti di questo mese:

1. In Windows 11 apri Impostazioni, poi Windows Update e scegli Verifica disponibilità aggiornamenti. In Windows 10 il percorso è Impostazioni, Aggiornamento e sicurezza, Windows Update.
2. Installa gli aggiornamenti proposti e riavvia il computer se richiesto. Per Windows 11 BleepingComputer cita gli aggiornamenti cumulativi KB5132061 e KB5131087.
3. Aggiorna anche Office, e quindi Outlook, con gli aggiornamenti che ti arrivano da Microsoft.
4. Non aprire file di messaggio che non ti aspetti, anche se sembrano arrivare da una persona che conosci.

Da dove vengono questi dati

I fatti sullo zero-day sono confermati da quattro fonti: il file ufficiale di Microsoft (MSRC), il catalogo CISA delle falle sfruttate, la Zero Day Initiative e Qualys, tutte del 10 novembre 2026. I conteggi vengono da BleepingComputer (Lawrence Abrams, 10 novembre 2026) e da Qualys; gli altri numeri sono attribuiti a chi li dà. Non letti: l'avviso Microsoft in forma di pagina web e le pagine di Tenable e Rapid7 (non trovate).