Il Patch Tuesday di ottobre 2025 segna un nuovo record per Microsoft: 172 patch rilasciate il 14 ottobre, a cui si sommano altre 41 distribuite nelle settimane precedenti. In totale, 213 aggiornamenti di sicurezza in soli trenta giorni. Un volume così alto dimostra quanto il panorama delle vulnerabilità sia in continua evoluzione e quanto sia complesso mantenere una postura di sicurezza adeguata se il processo di aggiornamento non è automatizzato.

Tra le patch di questo mese emergono sei vulnerabilità zero-day particolarmente rilevanti, che richiedono attenzione immediata da parte dei team IT e di sicurezza. Microsoft e i vendor coinvolti hanno già rilasciato gli aggiornamenti correttivi, ma vista la gravità di alcune falle, è fondamentale verificare subito l’applicazione delle patch e adottare misure di mitigazione dove l’update non sia immediatamente possibile.

Le sei vulnerabilità zero-day di ottobre 2025

CVE-2025-24052 — Escalation privilegi locali (CVSS 7.8)

La vulnerabilità di escalation dei privilegi locali valutata CVSS 7.8 interessa diverse versioni di Windows 10, 11 e Windows Server.

È pubblicamente nota e classificata “Exploitation More Likely”: un attaccante che disponga di accesso limitato al sistema può sfruttarla per ottenere privilegi amministrativi completi, ampliando notevolmente il proprio controllo sull’ambiente compromesso.

Il problema nasce dal driver legacy Agere Modem (ltmdm64.sys), ancora presente nativamente in molte installazioni Windows anche se l’hardware non è più utilizzato. Una gestione errata dei puntatori consente l’escalation dei privilegi locali. L’elemento critico è che il driver vulnerabile è distribuito di default su molte installazioni Windows, amplificando la superficie d’attacco.

CVE-2025-59230 — Elevazione dei privilegi (CVSS 7.2)

Questa vulnerabilità, classificata un punteggio CVSS di 7.2, è già sfruttata attivamente in ambienti reali. Sebbene Microsoft la definisca “Importante” e non “Critica”, la reale pericolosità risiede nel fatto che exploit attivi sono già stati osservati in ambienti reali, rendendo prioritario l’aggiornamento dei sistemi vulnerabili. Gli scenari di attacco mostrano che un utente autenticato può eseguire codice con privilegi più elevati del previsto, compromettendo la sicurezza del sistema.

CVE-2025-24990 — Driver Agere e escalation privilegi

Considerata una delle falle più insidiose del mese, coinvolge ancora una volta il driver modem Agere ltmdm64.sys incluso nativamente in alcune versioni di Windows. Anche se spesso non viene caricato, la sua semplice presenza nel sistema può essere sfruttata per ottenere diritti amministrativi completi. È un esempio chiaro di come componenti obsoleti o dismessi possano rappresentare punti di ingresso critici. Un attaccante con privilegi limitati può sfruttare un errore di dereferenziazione di puntatore per ottenere diritti amministrativi completi. Anche questa vulnerabilità risulta già sfruttata in attacchi reali.

CVE-2025-47827 — Exploit pubblico

Classificata di gravità media, ma già sfruttata pubblicamente. Anche se l’impatto tecnico non è comparabile alle precedenti, la disponibilità di codice exploit impone una rapida azione correttiva, per evitare che venga integrata in toolkit di attacco automatizzati o usata in campagne opportunistiche.

CVE-2025-0033 — AMD EPYC e rischio nei contesti cloud

Riguarda i processori AMD EPYC e consente l’esecuzione di codice remoto in determinate condizioni (CVSS 7.1). Il bug interessa l’implementazione di specifiche funzioni di gestione hardware e potrebbe essere sfruttato in ambienti cloud o virtualizzati, dove l’isolamento tra VM è fondamentale per la sicurezza dei dati. Microsoft segnala il rischio per i cluster Azure Confidential Computing basati su EPYC. Sebbene la probabilità di exploit sia bassa, sono già in corso aggiornamenti correttivi e misure di mitigazione.

CVE-2025-2884 — TPM 2.0 e lettura fuori memoria

È la meno grave tra le sei, ma è già pubblicamente nota. Sebbene il suo impatto sia circoscritto a scenari specifici, la divulgazione di dettagli tecnici aumenta la probabilità di tentativi di exploit opportunistici, motivo per cui anche questa vulnerabilità deve essere monitorata attentamente. Un errore nella funzione CryptHmacSign dell’implementazione di riferimento del TPM 2.0 può causare letture fuori dai limiti di memoria, esponendo potenzialmente dati sensibili. Il problema riguarda soprattutto i TPM software o virtuali basati sul codice di riferimento, non i chip hardware standard integrati nella maggior parte dei sistemi Windows.

Un’ondata di patch senza precedenti

Oltre alle sei zero-day, Microsoft ha corretto più di duecento vulnerabilità distribuite su una vasta gamma di prodotti:

• Windows 10, 11 e tutte le versioni server fino al 2025
• Office, SharePoint, Exchange Server, SQL Server
• Componenti Azure (inclusi Entra ID e Redis)
• Strumenti di sviluppo come Visual Studio, PowerShell e .NET Framework
• Applicazioni connesse a Copilot, Mesh e Xbox

In modo insolito, Microsoft ha segnalato anche videogiochi vulnerabili, un dettaglio interessante per chi usa workstation miste lavoro/gioco.

Impatti sulla gestione degli aggiornamenti

L’ondata di vulnerabilità di ottobre conferma la complessità crescente della gestione della sicurezza nei sistemi Windows. Oltre ai sei zero-day, Microsoft ha corretto oltre duecento falle che coinvolgono un’ampia gamma di prodotti: Windows 10, 11 e tutte le versioni server fino al 2025, Office, SharePoint, Exchange, SQL Server, Azure (inclusi Entra ID e Redis), Visual Studio, PowerShell, .NET Framework e persino applicazioni come Copilot e Mesh. In modo insolito, tra gli aggiornamenti figurano anche componenti legati a videogiochi e ambienti di intrattenimento, segno di quanto la superficie d’attacco sia ormai trasversale.

La gestione di oltre duecento patch in un solo mese evidenzia un punto critico per ogni organizzazione: mantenere aggiornati centinaia di sistemi non è più un’attività sostenibile senza automazione. I processi manuali o le soluzioni legacy come WSUS non garantiscono la tempestività necessaria, soprattutto quando alcune vulnerabilità sono già sfruttate attivamente. Ogni ritardo nell’applicazione degli aggiornamenti apre una finestra di rischio concreta per attacchi di escalation dei privilegi o compromissioni mirate.

Considerazioni operative: automatizzare per proteggere

In questo scenario, l’adozione di una piattaforma di patch management automatizzato e centralizzato è la chiave per ridurre tempi, errori e rischi.

Soluzioni moderne come Action1 e Automox consentono di gestire in modo integrato l’intero ciclo di aggiornamento da un’unica console cloud, distribuendo patch di sicurezza per Windows, macOS, Linux e software di terze parti in maniera rapida, controllata e tracciabile, senza richiedere infrastrutture on-premise.

Entrambe le piattaforme consentono di:

• pianificare aggiornamenti in orari non operativi
• ricevere report di conformità in tempo reale
• attivare alert immediati in caso di vulnerabilità critiche

Action1 rappresenta una soluzione ideale per la gestione agile di ambienti Windows e per chi desidera un approccio cloud-first semplice e immediato.

Automox, dal canto suo, offre un controllo esteso anche su infrastrutture eterogenee e multipiattaforma, integrandosi facilmente con i principali ecosistemi di sicurezza aziendale e garantendo aggiornamenti coerenti su endpoint distribuiti in tutto il mondo.

Action1 rappresenta un approccio moderno al patch management: elimina la frammentazione dei processi, garantisce visibilità immediata sullo stato di sicurezza dell’intero parco macchine e permette di rispondere rapidamente anche a situazioni emergenziali come gli zero-day di ottobre.

In sintesi, l’ondata di zero-day di questo mese evidenzia come le superfici di attacco restino ampie e dinamiche, e conferma la necessità di mantenere processi di patch management tempestivi e controllati. Le organizzazioni dovrebbero non solo applicare gli aggiornamenti appena disponibili, ma anche rafforzare le politiche di rilevamento e contenimento per ridurre al minimo la finestra di esposizione.

Per le aziende che desiderano ridurre il rischio operativo e ottimizzare il tempo del reparto IT, l’automazione del patching è la direzione giusta.

Scopri come Nexsys può aiutarti a implementare Action1 e trasformare la gestione della sicurezza dei tuoi sistemi.