Il 14 luglio Microsoft ha pubblicato un aggiornamento di sicurezza enorme: oltre 560 vulnerabilità corrette in un colpo solo (Tenable ne conta 569; le testate divergono di qualche unità perché contano in modo diverso i componenti non Microsoft). Il numero fa titolo, ma da solo non dice nulla di utile.
La cosa che conta è un’altra: dentro quel pacchetto ci sono tre falle “zero-day” — cioè note prima che esistesse la correzione — e due sono già usate dagli attaccanti in questo momento. La domanda giusta non è “quante sono”, ma “mi riguardano?”. Per molte piccole imprese la risposta è diversa a seconda della falla.
Le due già sotto attacco: riguardano chi ha un server proprio
Le due vulnerabilità attivamente sfruttate sono:
- CVE-2026-56155, in Active Directory Federation Services (AD FS), il sistema che gestisce l’accesso unico agli applicativi aziendali. Permette a un attaccante di alzare i propri privilegi sfruttando controlli di accesso troppo grossolani.
- CVE-2026-56164, in SharePoint Server, l’archivio documentale installato in azienda. Qui manca l’autenticazione su una funzione critica: si sfrutta dalla rete, senza doversi autenticare.
Il punto che quasi nessuno scrive a chiare lettere: entrambe colpiscono software installato su un server in azienda, non i servizi in cloud. Se la tua impresa usa Microsoft 365 in cloud — la posta, OneDrive, SharePoint Online dal browser — queste due falle non ti riguardano: quei sistemi li aggiorna Microsoft.
Se invece hai un server fisico in sede con SharePoint o AD FS installati sopra — configurazione tipica di PMI strutturate e studi professionali che si sono tenuti il server proprio — allora sei nel gruppo esposto, e sei esposto ora, perché gli attacchi sono in corso.
CVE-2026-56155 (AD FS) e CVE-2026-56164 (SharePoint Server) sono già sfruttate, ma colpiscono solo i server installati in azienda. Chi usa Microsoft 365 in cloud è fuori dal perimetro: quegli aggiornamenti li applica Microsoft.
Fonte: BleepingComputer, Tenable — luglio 2026
La terza falla è quella che riguarda tutti
La terza zero-day, CVE-2026-50661, ha un punteggio di gravità modesto (CVSS 6.1) e non risulta ancora sfruttata. Sulla carta è la meno grave delle tre. Nella vita reale di una piccola impresa è la più interessante, perché consente di aggirare BitLocker, la cifratura del disco di Windows.
C’è una condizione precisa: serve avere il computer fisicamente in mano. Ed è esattamente questo che la rende concreta.
BitLocker è la risposta standard alla domanda “e se rubano il portatile a un collaboratore?”. L’idea è: il disco è cifrato, chi lo ruba si porta a casa un fermacarte, i dati restano illeggibili. Questa falla incrina quel ragionamento. Il portatile lasciato in auto durante una trasferta, la borsa sfilata in stazione, il notebook sparito da un cantiere o da un ufficio aperto al pubblico: in quegli scenari il ladro non ha più solo dell’hardware, ma potenzialmente i file che ci sono dentro.
Con BitLocker attivo e aggiornato, il portatile rubato è una perdita economica. Con la cifratura aggirabile, gli stessi dati — anagrafiche clienti, offerte, buste paga — diventano leggibili: cambia la natura stessa dell'incidente.
Perché per un imprenditore è un tema legale, non solo tecnico
Qui si smette di parlare di informatica. Se su quel portatile ci sono dati personali — l’anagrafica dei clienti, i CV dei candidati, le buste paga dei dipendenti, l’archivio delle email — un furto con cifratura aggirabile può configurare una violazione di dati personali ai sensi del GDPR.
E una violazione, quando comporta un rischio per le persone coinvolte, va notificata al Garante entro 72 ore. Non è una formalità: significa ricostruire in fretta cosa c’era su quel disco, valutare il rischio e, nei casi più seri, avvisare anche i clienti stessi.
La differenza tra “ci hanno rubato un computer” e “abbiamo avuto una violazione di dati” può dipendere da un aggiornamento non installato. È tutta qui la ragione per cui questa falla, formalmente la meno grave delle tre, merita più attenzione del numerone in prima pagina.
Cosa fare, in concreto
- Aggiorna i portatili, non solo i fissi. Sono quelli che escono dall’ufficio, e sono proprio quelli esposti al bypass di BitLocker. Se in azienda gli aggiornamenti sono impostati come rimandati, questa è la settimana per sbloccarli.
- Fai il test dei 30 secondi su SharePoint. Se scopri di avere un server in sede, la patch di AD FS e SharePoint è una priorità immediata: quelle due falle sono già sfruttate, non è un rischio teorico.
- Verifica che BitLocker sia davvero attivo. Molte aziende lo danno per scontato senza averlo mai controllato. Una cifratura spenta rende il discorso sull’aggiornamento del tutto accademico.
- Chiediti cosa c’è davvero sui portatili aziendali. È la domanda che ti servirà per rispondere in 72 ore, e conviene essersela posta prima e non dopo un furto.
In breve
Microsoft ha corretto oltre 560 vulnerabilità il 14 luglio. Due zero-day sono già sfruttati, ma colpiscono AD FS e SharePoint installati su un server in azienda: chi lavora solo con Microsoft 365 in cloud può stare tranquillo su quel fronte. La terza, CVE-2026-50661, permette di aggirare BitLocker con il computer in mano: non è ancora sfruttata e ha un punteggio basso, ma è quella che tocca chiunque abbia un portatile fuori dall’ufficio — e che può trasformare un furto in una notifica al Garante. La patch esiste già: l’unica cosa che separa l’azienda dal rischio è il computer lasciato indietro con gli aggiornamenti.