L'intelligenza artificiale sta comprimendo il tempo che intercorre tra la pubblicazione di un aggiornamento di sicurezza e il suo sfruttamento da parte degli attaccanti. Per questo motivo Microsoft da un lato stringe i propri tempi di ingegneria interna per rilasciare le patch in maniera più tempestiva, dall'altro cambia le indicazioni rivolte alle aziende sui tempi con cui devono distribuire quelle stesse patch sui propri dispositivi. La necessità è fare sì che l'installazione delle patch avvenga più tempestivamente rispetto a ora.

Le nuove tempistiche per l’installazione delle patch dal momento del loro rilascio sono state chiarite da Jeremy Chapman, Microsoft 365 Director: la finestra di deferral dev’essere inferiore ai tre giorni per gli aggiornamenti qualitativi, con deadline di zero o un giorno e un periodo di tolleranza (grace period) non superiore a due giorni. Per quello che riguarda invece la pubblicazione delle patch dalla scoperta di una falla, Microsoft spiega nel blog ufficiale  di aver integrato l'intelligenza artificiale per accelerare i tempi.

Partecipa agli ItalianSecurityAwards 2026 ed esprimi il tuo voto premiando le soluzioni di cybersecurity che reputi più innovative

Questo approccio dovrebbe dare maggiori margini di sicurezza rispetto alla condizione attuale, che vede gli attaccanti capaci di identificare e sfruttare le vulnerabilità in tempi molto rapidi, quando i difensori sono ancora bloccati in dinamiche di update inefficaci. Qualcuno potrebbe obiettare che, seguendo le nuove indicazioni di Microsoft, si rischia di mettere a repentaglio la stabilità dei sistemi. La risposta più sensata è che sì, questo rischio esiste, ma quello che un tempo era un equilibrio tra velocità di rilascio e stabilità dei sistemi, oggi non regge più. Lo spiega Chapman con un esempio pratico: se un'azienda aspetta due settimane a distribuire gli update dopo la loro pubblicazione, è molto probabile che un attaccante abbia già individuato e sfruttato quelle falle grazie all'AI, e che quindi il problema dell’azienda sia la gestione di un incidente potenzialmente critico.

Il tema del tempo intercorre tra pubblicazione della patch e sfruttamento della vulnerabilità non è nuovo per chi si occupa di gestione del rischio. Semplicemente, l'accelerazione portata dall'IA lo ha reso più urgente. In una recente intervista, Irina Artioli di Acronis aveva spiegato  che la finestra tradizionale di trenta o sessanta giorni per applicare le patch è ormai obsoleta, perché il tempo tra la pubblicazione di una vulnerabilità e il suo sfruttamento attivo si è ridotto a giorni, in alcuni casi a poche ore.

Come sempre, ci sono i distinguo del caso. La raccomandazione di Microsoft riguarda più che altro i dispositivi su cui è possibile accorciare la finestra di distribuzione senza interrompere l'operatività del business. Significa che spetta a ogni singola azienda   prendersi la responsabilità di calibrare l'approccio all’update in base al rischio dei singoli asset.

A questo proposito è interessante quanto ha spiegato Emilio Turani di Qualys: con l'aumento esponenziale delle vulnerabilità scoperte, la sfida per i team di sicurezza non è più applicare tutte le patch nel minor tempo possibile, ma decidere quali applicare per prime in base al rischio reale per il business, automatizzando dove possibile sia l'individuazione sia la remediation. Le raccomandazioni sui tempi di deferral pubblicate da Microsoft sono proprio la traduzione operativa di questo principio.

La parte pratica

Per rendere la sua raccomandazione attuabile, Microsoft punta su alcuni strumenti già presenti nell'ecosistema di gestione degli endpoint. Uno è Windows Autopatch in Microsoft Intune, che identifica i sistemi rimasti esposti dopo la pubblicazione di un update di sicurezza; gli amministratori possono quindi restringere le policy di deferral per i gruppi di dispositivi più critici. Per chi non utilizza Autopatch, le stesse policy time-bound sono applicabili tramite Microsoft Configuration Manager e Windows Server Update Services.

Microsoft raccomanda inoltre di attivare per impostazione predefinita Hotpatch sui sistemi supportati, così da permettere l’installazione degli aggiornamenti di sicurezza senza riavvio e ridurre la tendenza diffusa degli utenti di rimandare gli update per non dover riavviare il sistema. A completare il quadro, le policy di Conditional Access permettono di impedire l'accesso alle risorse aziendali ai dispositivi che non sono aggiornati, così da trasformare  il patching in un prerequisito di accesso.

Fin qui abbiamo visto le indicazioni lato utente, m a come accennato sopra anche Microsoft sta cambiando le proprie abitudini. Nel blog Windows Experience, l’azienda di Redmond  descrive un sistema end-to-end che copre il percorso dalla scoperta alla remediation delle vulnerabilità, così da ridurre l'esposizione dei clienti. Prevedibilmente, la novità passa per l'intelligenza artificiale, impiegata per individuare potenziali vulnerabilità già nelle fasi iniziali dello sviluppo, con gli ingegneri umani che avranno il compito di valutare i risultati e garantire che le correzioni rispettino gli standard di qualità attesi dai clienti. La conseguenza diretta di questo approccio è che ogni tornata di aggiornamenti comprenderà un volume più alto di aggiornamenti di sicurezza.

Microsoft continuerà a pubblicare le informazioni sui CVE e le indicazioni di rischio nella Security Update Guide, di modo che i clienti possano costruire consapevolmente una mappa del rischio della propria infrastruttura e accelerare la distribuzione dove l'esposizione è maggiore.