Microsoft ha rilasciato un aggiornamento di sicurezza mensile, il cosiddetto “Patch Tuesday”, che si distingue per la correzione di un numero record di vulnerabilità: ben 622. Di queste, 58 sono state classificate come critiche e due risultano già attivamente sfruttate da malintenzionati.

Oltre alle falle risolte nei propri prodotti, l’aggiornamento include anche 428 vulnerabilità di Chromium che interessano Microsoft Edge, ma non rientrano nel conteggio ufficiale. Questo porta il totale delle correzioni ad un livello particolarmente elevato, rendendo questo rollout uno dei più impegnativi mai affrontati dagli amministratori di sistema.

Il bollettino comprende anche una vulnerabilità (CVE-2026-56155) che è stata resa pubblica prima della disponibilità delle patch, aumentando il rischio che venga rapidamente integrata in campagne offensive. L’impressionante numero di correzioni alimenta un dibattito nella comunità della sicurezza informatica sull’impatto dell’intelligenza artificiale (AI) nella scoperta automatizzata delle vulnerabilità. Microsoft non ha specificato quanto l’AI abbia contribuito all’individuazione delle falle corrette questo mese, ma è evidente che la quantità di vulnerabilità scoperte continua a crescere a ritmi rilevante.

Tra i problemi più urgenti figurano due vulnerabilità già sfruttate attivamente. La prima, identificata come CVE-2026-56155, interessa Active Directory Federation Services (ADFS) e consente un’escalation dei privilegi. Questa vulnerabilità deriva da controlli di accesso insufficientemente granulari e permette a un utente già presente sul sistema di ottenere privilegi amministrativi. Pur richiedendo un accesso locale, la disponibilità di exploit attivi rende prioritario l’aggiornamento degli ambienti interessati.

La seconda vulnerabilità già sfruttata, CVE-2026-56164, riguarda Microsoft SharePoint. In questo caso il problema è causato dall’assenza di adeguati controlli di autenticazione per una funzione critica della piattaforma. Un aggressore presente sulla rete potrebbe così aumentare i propri privilegi all’interno di SharePoint senza essere correttamente autorizzato. Anche se il punteggio CVSS è relativamente contenuto, la presenza di attacchi in corso rende indispensabile installare tempestivamente le correzioni.

Microsoft ha inoltre corretto una vulnerabilità già resa pubblica ma, almeno per il momento, non ancora sfruttata: CVE-2026-50661, che interessa BitLocker e permette di aggirare fisicamente alcune delle protezioni offerte dal sistema di cifratura dei dischi. L’attacco richiede comunque l’accesso diretto al dispositivo.

Tra le vulnerabilità critiche spicca una falla particolarmente grave che coinvolge Microsoft Copilot (CVE-2026-48561), con un punteggio CVSS pari a 9,6. Questa consente l’esecuzione di codice remoto sfruttando un’insufficiente sanitizzazione degli input. Secondo Microsoft, un aggressore potrebbe predisporre un sito web malevolo capace di indurre le funzionalità integrate di Copilot presenti nei sistemi Windows ad elaborare richieste appositamente costruite, eseguendo codice senza che l’utente se ne accorga.

Anche Microsoft Exchange è interessato da una vulnerabilità critica (CVE-2026-55008), anch’essa con CVSS 9,6. Questa permette di effettuare attacchi di spoofing e di eseguire codice JavaScript arbitrario tramite email appositamente predisposte. Il problema nasce da una gestione non corretta degli input e potrebbe essere sfruttato semplicemente inviando un messaggio di posta elettronica contenente codice malevolo.

Particolarmente corposo è anche l’elenco delle vulnerabilità che interessano Microsoft Office. Il bollettino comprende ben sedici falle di esecuzione di codice remoto distribuite tra la suite Office e le applicazioni collegate. Le cause sono diverse e comprendono buffer overflow, errori nella gestione della memoria e vulnerabilità di tipo use-after-free, tutte in grado di consentire l’esecuzione di codice dannoso attraverso documenti opportunamente modificati.

Il Patch Tuesday di luglio non riguarda però soltanto Microsoft. Anche Adobe ha pubblicato un importante ciclo di aggiornamenti che corregge 64 vulnerabilità distribuite tra sette diversi prodotti, mentre Broadcom ha corretto sette vulnerabilità nel proprio Avi Load Balancer, comprese falle che consentono bypass dell’autenticazione, esecuzione di codice remoto ed escalation dei privilegi. Infine, SAP ha pubblicato sedici aggiornamenti di sicurezza, tra i quali spiccano vulnerabilità critiche in NetWeaver Application Server ABAP, SAP Approuter e SAP Commerce Cloud, alcune delle quali raggiungono un punteggio CVSS di 9,9.