Patch Tuesday novembre 2026 e ondata KEV: tracker verificato degli incidenti

Tre giorni condensati in una sola coda di patch. Nel fine settimana dell'8 novembre un ricercatore ha pubblicato oltre trenta zero-day non corretti in N-able N-central e NEAR AI ha confermato che un attaccante aveva eseguito codice su uno dei suoi server di inferenza. Il 9 e 10 novembre CISA ha aggiunto altre sette falle sfruttate al catalogo — un bypass pre-autenticazione nel gateway email di Barracuda, un bypass di autorizzazione in IBM Aspera, un RCE in FreeSwitch, un XXE in Cisco BroadWorks, uno zero-day di spoofing in Outlook e l'ottavo zero-day Chrome sfruttato dell'anno — e Microsoft ha rilasciato il suo Patch Tuesday di novembre per giunta. I feed e le timeline virali sono ormai un muro di "critico". Questa pagina separa ciò che è confermato da ciò che non lo è, e mette in ordine le correzioni.

Notizia in evoluzione — pubblicata alle 20:45 (19:45 UTC) del 10 novembre 2026. Aggiornata man mano che vendor e CISA pubblicano.

Da correggere oggi

Cinque voci sono insieme raggiungibili da Internet (o attivabili dall'utente) e con sfruttamento confermato. Tutto il resto può mettersi in coda dietro.

1. Barracuda Email Security Gateway — CVE-2026-116606 + CVE-2026-111560. Un bypass di autenticazione (CVSS 9.3) che permette a un attaccante non autenticato in grado di raggiungere l'interfaccia di amministrazione di ripristinare un backup di configurazione manipolato, concatenato a una command-injection sul sistema operativo (CVSS 8.6) per ottenere root. L'advisory Barracuda, aggiornato il 9 novembre, riferisce attività di sfruttamento "che riguarda un piccolo numero di organizzazioni". ESG è la stessa linea di prodotti compromessa in massa da UNC4841 nel 2023: tratta ogni apparato esposto come priorità. Corretta da ESG 9.4.0.030 (Mandiant MNDT-2026-0042); Barracuda distribuisce la patch automaticamente — verifica che sia arrivata. Scadenza KEV 2026-11-13, triage forense richiesto.
2. IBM Aspera Faspex — CVE-2026-123218. Un'autorizzazione errata (CVSS 9.8) che consente a un utente autenticato di costruire un messaggio per ottenere privilegi amministrativi. Faspex è un server di scambio file che spesso sta sul perimetro, e l'ondata ransomware del 2023 contro CVE-2022-47986 è il precedente che nessuno vuole rivedere. Corretta in 5.0.19 PL1 secondo l'advisory IBM. Scadenza KEV 2026-11-12, triage forense richiesto.
3. SignalWire FreeSwitch — CVE-2026-116779. Una code-injection via SIP MESSAGE (CVSS 9.8) che arriva all'esecuzione di comandi come demone. Le installazioni standard arrivano con utenti predefiniti senza password, quindi la barriera è spesso la configurazione, non una password. Corretta in 1.11.3 — la nostra analisi completa con runbook copre il controllo compensativo enable-chat=false. Scadenza KEV 2026-11-12.
4. Microsoft Outlook — CVE-2026-124194. L'unico zero-day attivamente sfruttato in questo Patch Tuesday (CVSS 6.5, "moderata"): aprire un file Office manipolato fa autenticare Outlook verso l'attaccante e trafuga l'hash NTLMv2 dell'utente, che si crackizza offline o si fa in relay in tempo reale. Una riedizione 2026 della classe di forced-auth. La nostra analisi con le mitigazioni include il blocco dell'SMB in uscita. Scadenza KEV 2026-11-24.
5. Google Chrome — CVE-2026-125350. Un use-after-free nel componente XML, l'ottavo zero-day Chrome sfruttato del 2026, corretto in 157.0.8103.50/.51. La patch ha effetto solo dopo un riavvio completo — una stringa di versione 157 mente se il browser non è mai stato chiuso. Dettagli nel nostro approfondimento su Chrome. Scadenza KEV 2026-11-24.

Tracker degli incidenti verificati

Ogni riga sotto è stata verificata su una fonte primaria — un advisory del vendor, la voce del catalogo CISA KEV, NVD o la dichiarazione dell'azienda colpita. ✅ confermato · ⚠️ parzialmente confermato · ❌ non supportato da alcuna fonte.

Incidente	Di cosa si tratta	Stato	Correzione / azione	Fonte
Barracuda ESG CVE-2026-116606 + -111560	Bypass pre-auth concatenato a RCE root; sfruttamento osservato	✅	ESG 9.4.0.030 (auto-patch); altri prodotti da advisory	Barracuda · Mandiant
Microsoft Outlook CVE-2026-124194	Zero-day sfruttato; forced-auth con leak hash NTLMv2	✅	Build di novembre	MSRC · nostro post
Google Chrome CVE-2026-125350	8° zero-day Chrome sfruttato del 2026; UAF in XML	✅	157.0.8103.50/.51 + riavvio completo	nostro post
IBM Aspera Faspex CVE-2026-123218	Bypass di autorizzazione ad admin; su CISA KEV	✅	5.0.19 PL1	IBM
SignalWire FreeSwitch CVE-2026-116779	Code injection via SIP MESSAGE a RCE come demone	✅	1.11.3	nostro post
OpenSSH "SSHole" CVE-2026-123158	Su KEV dal 2026-11-09; bypass auth su build musl	✅	10.6p2	nostro post
GPUStack CVE-2026-102895	RCE su infra AI (CVSS 9.8); sfruttato da luglio, KEV 2026-11-09	✅	Release corretta del vendor	NVD
Openwave Webtop Media Transcoder CVE-2026-111793	Transcoder webmail di nicchia; lo sviluppatore conferma attacchi	✅	1.1.22.0 / Media Server 2.0	JVN
Violazione NEAR AI via RCE SGLang	RCE nel motore di inferenza LLM; dati di ~100 utenti sottratti	✅	Fix distribuito; nessun CVE pubblico	NEAR AI
Furto dispatch emergenze Taipei BOSSAI	Un solo operatore, agenti AI, API esposte e credenziali di default	✅	Hardening dei servizi esposti	nostro post
Cisco BroadWorks CVE-2026-20320	XXE con disclosure config; su KEV, vendor "non a conoscenza" di usi	⚠️	RI.2026.07	Cisco
N-able N-central "Able2Shell" (30+ bug)	PoC pubblici; nessun CVE ancora; il vendor non vede sfruttamento	⚠️	Tenere offline; applicare hotfix	nostro post
Windows NTFS CVE-2026-100223	Dato per "sfruttato" dai feed; MSRC dice non sfruttato	❌	Fix ordinario di Patch Tuesday	MSRC

Ruota queste credenziali

Due degli incidenti di questa settimana hanno messo credenziali nelle mani dell'attaccante, quindi la sola patch non li chiude.

• Utenti NEAR AI Cloud. NEAR AI ha confermato che le chiavi API Cloud di due clienti erano esposte nei log e le ha revocate, ha sostituito tutti i token degli agenti e invalidato le sessioni attive. Se detenevi credenziali NEAR AI, dai per scontato che tutto ciò che ha toccato quella piattaforma possa essere stato osservato e ruota le tue chiavi a valle.
• Operatori Barracuda ESG. Se un apparato esposto era raggiungibile prima della patch, il bypass consentiva l'import di configurazione — rivedi la configurazione attiva, ruota le credenziali dell'apparato e dei servizi collegati e controlla eventuali account amministrativi inattesi prima di tornare a fidarti del dispositivo.
• FreeSwitch e IBM Faspex. Entrambi i bug raggiungono funzioni con credenziali; dopo la patch, ruota i segreti SIP/profilo (FreeSwitch) e gli account amministrativi (Faspex), e verifica che non siano stati creati nuovi account.

Cosa sbagliano le liste virali

Watcher e timeline virali sono corsi avanti rispetto alle prove in tre punti.

"Un altro zero-day Windows sfruttato." CVE-2026-100223, un'elevazione di privilegi in NTFS, è entrata in diversi feed questa settimana etichettata come sfruttata. L'advisory di Microsoft dice il contrario: non divulgata pubblicamente, non sfruttata, "Exploitation Less Likely", CVSS 7.8 e solo locale — devi già essere sulla macchina. È un fix ordinario di Patch Tuesday, non uno zero-day. Correggila nel ciclo normale, non stanotte.

"33 zero-day sfruttati in N-able." La divulgazione su N-able N-central è reale e il ricercatore ha pubblicato codice proof-of-concept funzionante, ma N-able dichiara di non avere prove che le falle siano state sfruttate contro i suoi ambienti, e non sono ancora stati assegnati identificativi CVE. "PoC pubblico" e "sfruttato in-the-wild" sono affermazioni diverse; qui siamo nella prima. L'azione giusta — tenere offline le console hosted e on-prem fino all'hotfix — non dipende da quale delle due sia.

Cisco BroadWorks "sfruttato". CISA ha aggiunto CVE-2026-20320 a KEV come sfruttato, ma l'advisory del PSIRT Cisco afferma ancora di "non essere a conoscenza di annunci pubblici o uso malevolo". Le due cose possono essere entrambe vere — CISA vede telemetria che il vendor non ha — ma se stai decidendo l'urgenza, prendi nota della discordanza invece di trattarla come acquisita. Corretta in RI.2026.07.

"Abbiamo corretto tutto quello sulla lista KEV." — "Compreso quello che il vendor dice non sfruttato, e il bug Windows che su KEV non c'è mai stato? Quale apparato esposto a Internet avete fatto per primo?"

Come dare priorità quando è tutto critico

Una settimana così è esattamente ciò per cui esistono i livelli di rischio della BOD 26-04 di CISA: la scadenza più breve, di tre giorni, è riservata alle falle insieme sfruttate e raggiungibili, ed è il motivo per cui Barracuda, FreeSwitch, IBM Aspera e SSHole portano una scadenza al 2026-11-12/13 mentre i bug client di Outlook e Chrome stanno al 2026-11-24. Ordina la tua coda allo stesso modo — prima ciò che è esposto a Internet e sfruttato, per ultimo ciò che è locale o non sfruttato — e prima di spingere una modifica, verifica che l'asset sia davvero raggiungibile e che la falla sia davvero sfruttabile nella tua configurazione. Il tracker CISA KEV, gli hub vendor Cisco e Microsoft e un passaggio disciplinato di penetration testing automatizzato sul tuo stesso perimetro trasformano "è tutto critico" in un elenco ordinato su cui si può davvero lavorare.

È lì che un red team autonomo si guadagna il posto. Zero Hunt gira come apparato on-premise sui propri modelli privati, con un umano che approva ogni azione che conta: ragiona sugli stessi feed KEV e advisory, poi dimostra — black-box o gray-box — quale delle falle di questa settimana è raggiungibile sul tuo perimetro e sfruttabile nella tua build prima che qualcuno pianifichi una finestra di modifica, e il suo Remediation Advisor ordina le correzioni per sfruttabilità dimostrata, non per quanto era rumoroso il titolo, riverificando ciascuna con lo stesso test che ha trovato il buco. In una settimana in cui tredici incidenti arrivano insieme e uno si rivela non sfruttato affatto, quella differenza è tutto il mestiere.