Il patching di Windows quando la divulgazione corre alla velocità dell'IA: la nostra nuova ricerca

Il volume delle CVE di Windows e Office è aumentato in modo marcato, ma la gravità media di quelle CVE no. È questo il risultato al centro della nostra nuova ricerca. Nell'ultimo anno completo (da ottobre 2025 a settembre 2026) lo studio conta 2.438 CVE distinte di Windows e Office, con un aumento del 159,1 % rispetto alle 941 dell'anno precedente, mentre il punteggio di base CVSS v3 medio è passato da 7,43 a 7,37 e poi a 7,28. Per chi si occupa di patching o di pacchettizzazione applicativa, la domanda utile non è più quante CVE siano state pubblicate. È come tenere il passo con un flusso di aggiornamenti più rapido e dimostrare che ciascuno sia effettivamente in esecuzione.

Il documento, Il patching di Windows quando la divulgazione corre alla velocità dell'IA, è uno studio descrittivo di 36 mesi sulle CVE di Windows e Office, sulla cadenza di rilascio delle applicazioni e sui tempi di correzione. È stato scritto da Ryan Mangan di EfficientEther. È una ricerca redatta dall'azienda e non è stata sottoposta a revisione paritaria. È pubblicata come preprint ad accesso aperto su Zenodo con licenza CC BY 4.0. L'edizione EtherApps Forge, che riprende la stessa ricerca in un'impaginazione curata, è gratuita dalla pagina di registrazione.

Cosa ha rilevato lo studio

Questi sono i numeri principali, così come li riporta il documento.

• 2.438 CVE di Windows e Office nell'ultimo anno completo, contro 941 dell'anno prima e 679 di quello ancora precedente (+38,6 %, poi +159,1 %). Il documento rileva che l'impennata si concentra tra metà e fine 2026.
• Un punteggio CVSS v3 medio sostanzialmente invariato, pari a 7,43, 7,37 e 7,28. Le CVE con punteggio pari o superiore a 9,0 sono passate da 11 a 60 tra gli ultimi due anni completi, quindi una media stabile significa comunque molte più divulgazioni gravi in termini assoluti.
• 18 CVE di Windows con credito documentato di scoperta assistita dall'IA. È un insieme di esempi verificati alla fonte. Non è una stima della quota di scoperte dovuta all'IA.
• Giorni di rilascio in un anno: 69 per Microsoft Edge, 64 per Chrome e 61 per Visual Studio Code. Tre grandi fornitori hanno annunciato cicli di rilascio più brevi durante lo studio.
• Nessuna media dei tempi di correzione sull'intera coorte. Nessuna delle 4.058 CVE della finestra completa di 36 mesi ha una coppia di date notifica-correzione strutturata utilizzabile.

Come leggere i numeri

Lo studio è descrittivo, e i suoi limiti contano quanto i suoi risultati.

• Non sostiene alcuna causa. La conclusione del documento è che l'IA contribuisce al cambiamento, ma la sua quota, un moltiplicatore universale della velocità di scoperta e qualsiasi variazione proporzionale del rischio di compromissione restano non misurati.
• La data è una data di segnalazione di Microsoft. Ogni CVE è datata in base alla sua prima revisione valida nei documenti mensili degli aggiornamenti di sicurezza di Microsoft. È un indicatore della divulgazione, non una data di scoperta osservata né una data di installazione della patch da parte del cliente.
• Ottobre 2026 è un mese parziale. Arriva fino alla data limite delle evidenze, il 26 ottobre, ed è riportato separatamente dai tre anni completi.
• Il pannello dei rilasci è piccolo di proposito. Sei flussi di rilascio di applicazioni illustrano modelli di pacchettizzazione diversi. Non rappresentano tutto il software Windows, e un giorno di rilascio indica una disponibilità, non una distribuzione obbligatoria.
• Il volume non si traduce in carico di lavoro. La crescita delle divulgazioni non può essere convertita in un aumento percentuale identico di pacchetti, download, riavvii o ore di personale.

Il documento dichiara anche i propri interessi. EfficientEther sviluppa e vende EtherApps Forge, e lo studio non valuta EtherApps Forge né alcun altro prodotto commerciale.

A chi è rivolto

Se gestite il patching, la gestione degli endpoint o la pacchettizzazione applicativa in un'organizzazione da 50 a 600 utenti, o lo fate per più clienti come MSP, il documento vi offre tre elementi da portare alla prossima discussione di pianificazione.

1. Una base di riferimento difendibile. Coorti di anni completi con regole esplicite, così potete smettere di citare totali grezzi di CVE che mescolano prodotti, date e mesi parziali.
2. Un motivo per separare l'acquisizione dei rilasci dal lavoro di pacchettizzazione. Il documento propone un'acquisizione continua dei rilasci, corsie separate per i flussi di rilascio veloci, prevedibili e sporadici, l'evidenza che ogni aggiornamento sia in esecuzione e l'automazione dell'esecuzione, mentre le persone restano responsabili di ciò che viene testato, di ciò che conta come superato e di quali eccezioni siano accettabili.
3. Evidenze che potete inoltrare. Una citazione e un supplemento analitico permettono a un change board, a un responsabile finanziario o a un cliente di verificare i numeri anziché fidarsi della nostra parola.

Il ruolo di EtherApps Forge

EtherApps Forge acquisisce le applicazioni Windows sulle macchine in cui già vengono eseguite e le trasforma in pacchetti MSIX, MSI, Intune e App Attach firmati per Microsoft Intune, Windows 365 e Azure Virtual Desktop. È il lato pacchettizzazione del lavoro descritto da questa ricerca. Se state decidendo quanta parte di un flusso di rilasci dei fornitori più rapido il vostro team debba pacchettizzare in modo centralizzato, pacchettizzazione e distribuzione MSIX e modernizzazione e migrazione delle applicazioni descrivono il percorso. La nostra ricerca precedente su 3.261 casi di pacchettizzazione MSIX automatizzata e sullo stato della pacchettizzazione applicativa nel 2026 si affianca a questo studio.

Da citare come: Mangan, R. (2026). Windows Patching, AI-Assisted Discovery and Application Assurance: A 36-Month Descriptive Study of Windows and Office CVEs, Application Release Cadence and Remediation Timing. Zenodo. https://doi.org/10.5281/zenodo.23780566

Ottenete la ricerca sul patching di Windows e portate i numeri alla prossima riunione di pianificazione di patching e pacchettizzazione.