Outlook, falla già sfruttata: Microsoft corregge 1094 CVE a novembre
Chi usa Outlook deve installare gli aggiornamenti di novembre: secondo la Security Update Guide di Microsoft, la falla CVE-2026-124194 è già sfruttata. La release, pubblicata il 10 novembre 2026, comprende 1094 CVE Microsoft. Toccano Windows, Office, Exchange Server, SharePoint Server, SQL Server e altri prodotti. Chi amministra PC e server deve controllare i problemi noti dei singoli aggiornamenti prima di distribuirli.
Outlook: la falla già sfruttata da trattare per prima
CVE-2026-124194 è catalogata da Microsoft come «Microsoft Outlook Spoofing Vulnerability» ed è l’unica CVE indicata come notevole in questa release. Accanto compare «Exploitation Detected»: Microsoft ha rilevato uno sfruttamento.
La pagina non riporta punteggio di gravità, versioni di Outlook colpite o dettagli sul tipo di spoofing. Gli aggiornamenti di Windows 10 e Windows 11 sono cumulativi: la release mensile include tutte le correzioni di sicurezza per le due versioni, più gli aggiornamenti non di sicurezza. Sono disponibili anche dal Microsoft Update Catalog.
Quanto pesa la release, prodotto per prodotto
Oltre alle 1094 CVE Microsoft, l’azienda ripubblica 165 CVE non Microsoft; quelle di Chrome non sono elencate. Windows concentra il maggior numero di correzioni, seguito da Office.
| Famiglia di prodotto | Vulnerabilità corrette | Aggiornamenti distinti |
|---|---|---|
| Windows | 726 | non indicato |
| Office | 174 | 7 |
| SQL Server | 59 | 13 |
| Developer Tools | 53 | 28 |
| SharePoint Server | 27 | 3 |
| Altro (Other) | 25 | non indicato |
| Azure | 20 | non indicato |
| Exchange Server | 9 | 1 |
| Defender | 1 | 1 |
Gli aggiornamenti sono cumulativi, tranne quelli di Azure e della categoria Altro, che sono singoli. Anche per Office il tipo è cumulativo, con l’eccezione della versione 2016.
Come aggiornare e cosa controllare prima
Microsoft raccomanda di installare l’ultimo servicing stack update. L’elenco aggiornato per ogni sistema operativo è nell’avviso ADV990001. Oltre alle correzioni, gli aggiornamenti includono modifiche di difesa in profondità (defense-in-depth) per migliorare le funzioni legate alla sicurezza.
La pagina segnala problemi noti (Known Issues) per questi pacchetti:
- Windows 10: KB 5131096 per 22H2 con copertura ESU attiva e per le edizioni LTSC 2021 di 21H2 ancora supportate
- Windows 10 1809 e Windows Server 2019: KB 5131085
- Windows 10 1607 e Windows Server 2016: KB 5131291
- Windows Server 2022: KB 5131090
- Windows Server 2025: KB 5131080
- Windows Server 2025 Hotpatch: KB 5131077
- SQL Server 2025 CU10: KB 5129299
- SQL Server 2022 CU27: KB 5129300
- .NET 9.0: KB 5135242
- .NET 8.0: KB 5135243
La pagina elenca solo i KB coinvolti, non il contenuto dei problemi. I dettagli si vedono nella scheda Deployments della Security Update Guide, attivando la colonna Known Issues da Edit Columns. Per quelli di Windows c’è anche il Windows message center.
Windows Server 2008 e 2008 R2: l’ESU è finito
La pagina di Microsoft cita ancora l’ESU per Windows Server 2008 e 2008 R2, ma il programma è finito: anche il quarto anno, riservato ad Azure, si è chiuso il 9 gennaio 2024. Per tornare a ricevere aggiornamenti di sicurezza bisogna migrare a un sistema supportato. Microsoft rimanda al KB 4522133.
