Il record di Patch Tuesday di Microsoft: l'IA ha trovato i bug

      Microsoft non ha mai distribuito un aggiornamento di sicurezza più grande. Il Patch Tuesday di luglio ha corretto un numero record di vulnerabilità, e l'azienda afferma che l'IA è il motivo per cui il conteggio continua a salire.

      La scala è difficile da ignorare. Secondo il conteggio di Microsoft, l'aggiornamento ha corretto 622 vulnerabilità. Questo numero è più che triplo rispetto al totale di giugno, che aveva già stabilito un record. Krebs on Security, che ha riportato per primo il rilascio, ha indicato la cifra a 570. Altre 428 vulnerabilità di Chromium in Edge si aggiungono a questo.

      Tre zero-day, due sotto attacco

      Cinquantaotto delle vulnerabilità sono considerate critiche. Tre sono zero-day, il che significa che erano pubbliche o sfruttate prima che esistesse una correzione. Due di queste sono già in uso attivo.

      Il primo, CVE-2026-56155, consente a un attaccante di elevare i propri privilegi attraverso i servizi di federazione di Active Directory, il sistema che firma i login di una rete. Il secondo, CVE-2026-56164, fa lo stesso attraverso SharePoint on-premises. Nessuno dei due ha un punteggio di gravità allarmante. Gli attaccanti stanno usando entrambi comunque.

      Questa è la vera lezione. CISA ha aggiunto entrambi alla sua lista di vulnerabilità note e ha detto alle agenzie federali di applicare le correzioni entro pochi giorni. Il terzo zero-day, un bypass di BitLocker, richiede accesso fisico, quindi è meno urgente.

      L'IA sta scrivendo le note di correzione

      Microsoft è chiara riguardo alla causa. In un post sul blog una settimana prima, il capo di Windows Pavan Davuluri ha avvertito i clienti di aspettarsi "un volume maggiore di aggiornamenti di sicurezza" mentre l'IA aiuta a trovare più bug, più velocemente.

      Gli strumenti stanno facendo il lavoro di scavo. Lo scanner di Microsoft, MDASH, ha trovato 16 delle vulnerabilità di maggio da solo. Il modello Mythos di Anthropic è stato accreditato di un aumento delle correzioni in tutto il settore. Il conteggio mensile è aumentato con loro, da 79 a marzo a 206 a giugno fino a 622 ora.

      Si inserisce in un tema più ampio. OpenAI ha recentemente mostrato un hacker IA interno che cerca vulnerabilità nei propri modelli.

      Gli stessi strumenti aiutano gli attaccanti

      C'è un problema. Una volta che una correzione viene distribuita, gli attaccanti possono confrontarla con il vecchio codice, individuare il buco che chiude e costruire un exploit in poche ore. L'abitudine di aspettare una settimana per applicare le correzioni sta svanendo.

      Questo rompe anche il modo in cui i team fanno triage. Quando un rilascio contiene 600 vulnerabilità e decine sono classificate come critiche, l'etichetta smette di ordinare qualsiasi cosa. I due bug sfruttati di questo mese lo dimostrano. Entrambi hanno un punteggio medio e entrambi sono in uso.

      I team sono già sotto pressione. I benchmark costruiti per misurare le abilità di hacking dell'IA continuano a saturarsi, e i ricercatori continuano a ingannare gli assistenti di codifica in comportamenti non sicuri.

      Un rollout difficile

      L'aggiornamento non è stato fluido. Microsoft ha sospeso il rollout per alcuni dispositivi Dell con chip Intel, dopo segnalazioni di spegnimenti improvvisi, surriscaldamento e scarico della batteria. Una correzione è prevista entro pochi giorni.

      Per tutti gli altri, il consiglio è lo stesso di sempre, solo più urgente. Ordinare in base a ciò che viene sfruttato, non in base al numero sulla scatola. E applicare le correzioni più velocemente di quanto si facesse in passato.