Windows 11 26H2 disponibile in General Availability

Simone Termine

Introduzione

Finalmente ci siamo! Windows 11 versione 26H2, distribuito anche con il nome Windows 11 2026 Update, è disponibile dal 29 settembre 2026. Per gli amministratori, l’aspetto più rilevante di questa release riguarda il modo in cui viene effettuato l’aggiornamento: i dispositivi compatibili che eseguono Windows 11 24H2 o 25H2 possono passare alla nuova versione mediante un enablement package, senza affrontare il processo di aggiornamento completo tipico delle release basate su un nuovo sistema operativo.

Le versioni Windows 11 24H2, 25H2 e 26H2 condividono infatti lo stesso insieme di file di sistema e la stessa base di servicing. Le componenti necessarie a 26H2 vengono progressivamente distribuite attraverso gli aggiornamenti cumulativi e restano inattive fino all’installazione dell’enablement package. Il risultato è un aggiornamento relativamente contenuto (qualche kb), che richiede un solo riavvio e attiva le funzionalità associate alla nuova versione.

Questa modalità di distribuzione rende il passaggio a 26H2 più semplice dal punto di vista tecnico, ma non elimina la necessità di effettuare un rollout controllato. La nuova versione introduce infatti modifiche alla sicurezza, nuove funzionalità di gestione e recovery, cambiamenti ad alcune impostazioni predefinite e un nuovo ciclo di supporto. Occorre inoltre considerare i problemi noti e i safeguard hold eventualmente applicati ai dispositivi prima di estendere la distribuzione a tutto il parco macchine.

Windows 11 26H2 in pillole

La seguente tabella riassume i dati principali della release disponibili al momento della pubblicazione. Al momento il requisito fondamentale è che i dispositivi abbiano installato almeno la KB5124010 (Preview del 22 settembre 2026) o una CU successiva.

I numeri di build cambieranno naturalmente con i successivi aggiornamenti cumulativi; 26300.9550 identifica quindi la build disponibile al momento della General Availability e non deve essere utilizzata come valore permanente per identificare 26H2.

Enablement package Windows 11 versione 26H2

Per comprendere correttamente 26H2 conviene partire dal modello di servicing utilizzato negli ultimi aggiornamenti di Windows 11. Le release 24H2, 25H2 e 26H2 utilizzano lo stesso core del sistema operativo e condividono gli stessi file di sistema. Le nuove funzionalità vengono quindi incluse gradualmente negli aggiornamenti cumulativi destinati alle versioni precedenti, anche quando non sono ancora attive per l’utente.

L’enablement package KB5121794 agisce come un interruttore che abilita le funzionalità predisposte per 26H2 e modifica la versione esposta dal sistema operativo. Per un dispositivo Windows 11 24H2 o 25H2 già correttamente aggiornato, il passaggio a 26H2 richiede quindi un download più contenuto rispetto a un tradizionale feature update e un singolo riavvio.

Questa architettura ha una conseguenza importante anche nella valutazione delle novità. Molte funzionalità associate al Windows 11 2026 Update sono già state distribuite durante l’anno attraverso gli aggiornamenti mensili e il Controlled Feature Rollout. Su un dispositivo 24H2 o 25H2 costantemente aggiornato alcune esperienze potrebbero quindi essere già presenti, mentre altre possono dipendere dal modello hardware, dal mercato, dalla lingua supportata o dallo stato del rollout.

Per questo motivo, in ambiente aziendale è preferibile verificare separatamente la versione del sistema operativo, lo stato delle singole funzionalità necessarie all’organizzazione e l’applicazione delle policy amministrative, evitando di utilizzare la sola presenza di una determinata funzione nell’interfaccia come indicatore dell’avvenuto aggiornamento.

Potete trovare gli enablement package qui:

• Enablement Package (KB5121794) for AMD and Intel (x64)
  
• Enablement Package (KB5121794) for ARM64
  

Windows 11 26H1 vs 26H2

La denominazione può indurre a considerare 26H1 come la release immediatamente precedente a 26H2. In realtà, i due rami rispondono a esigenze differenti e ne avevamo già parlato nell’articolo Windows 11 26H2 è disponibile nel canale Insider pubblicato su Endpoint Ninja.

Windows 11 26H1 è stato progettato per specifici dispositivi di nuova generazione ed è basato su un core differente. Windows 11 26H2 rappresenta invece la prosecuzione del normale percorso di servicing dei dispositivi Windows 11 24H2 e 25H2. I dispositivi 26H1 non possono pertanto utilizzare l’enablement package destinato a 26H2 e seguiranno un percorso di aggiornamento dedicato.

Questa distinzione è particolarmente utile quando si costruiscono collezioni, filtri dinamici, query di inventario o criteri di distribuzione: il solo confronto numerico tra le versioni non descrive correttamente il ramo di servicing a cui appartiene il dispositivo.

Le novità di Windows 11 26H2 più rilevanti

In questa sezione vedremo l’elenco delle funzionalità del Windows 11 2026 Update, che è piuttosto esteso e comprende modifiche all’interfaccia, accessibilità, ricerca, File Explorer e funzionalità AI. In un ambiente gestito risultano però più interessanti le modifiche che incidono su sicurezza, amministrazione, provisioning, recovery e gestione del ciclo di vita delle applicazioni.

Sicurezza e protezione degli endpoint

Tra le funzionalità disponibili con 26H2 rientra Administrator protection, progettata per fornire privilegi amministrativi just-in-time quando un’operazione richiede elevazione. Il meccanismo utilizza Windows Hello per autorizzare l’elevazione e separa il contesto amministrativo dall’ambiente utilizzato normalmente dall’utente. La funzionalità può essere configurata tramite strumenti di gestione come Microsoft Intune o Group Policy e richiede quindi una valutazione specifica prima dell’adozione.

Anche Sysmon entra a far parte direttamente di Windows. La funzionalità rimane disabilitata fino a quando non viene configurata e può fornire telemetria dettagliata su processi, connessioni e altre attività del sistema. La sua presenza nativa semplifica la disponibilità del componente, ma non sostituisce la necessità di definire una configurazione adatta alle esigenze di monitoraggio e alla capacità della piattaforma utilizzata per raccogliere gli eventi.

Smart App Control può inoltre essere attivato o disattivato senza richiedere una reinstallazione pulita di Windows. Sono presenti anche estensioni dell’Enhanced Sign-in Security per lettori di impronte digitali esterni compatibili e nuove API crittografiche post-quantum, tra cui il supporto a ML-KEM e ML-DSA attraverso CNG e .NET.

Sul fronte driver, 26H2 modifica inoltre il comportamento di trust eliminando il riconoscimento predefinito dei driver cross-signed, mantenendo i percorsi di attendibilità previsti dal Windows Hardware Compatibility Program e per specifici driver legacy considerati attendibili. In presenza di hardware datato o driver non standard, questo aspetto merita quindi di essere incluso nei test del gruppo pilota.

Provisioning, gestione e recovery

Windows Autopilot device preparation acquisisce la possibilità di associare un dispositivo prima dell’enrollment. Questo consente di identificarlo preventivamente come dispositivo attendibile, applicare criteri indirizzati al device, gestire l’enrollment come corporate device e personalizzare ulteriormente l’esperienza OOBE.

Anche le funzionalità di Windows settings backup and restore vengono estese a scenari aziendali più ampi, compresi dispositivi Microsoft Entra hybrid joined, Cloud PC e configurazioni multiutente. Il comportamento predefinito merita però particolare attenzione: a partire da 26H2 il backup delle impostazioni può risultare abilitato sui dispositivi idonei quando l’amministratore non ha già configurato esplicitamente una policy. Le configurazioni amministrative esistenti continuano a essere rispettate e il ripristino rimane sotto il controllo dell’amministratore.

Un’altra modifica operativa riguarda point-in-time restore, che permette di riportare il PC a un punto di ripristino recente includendo sistema operativo, applicazioni, impostazioni e file locali. Sui dispositivi gestiti, a partire da Windows 11 26H2 la funzionalità può essere abilitata per impostazione predefinita quando il volume di sistema dispone di almeno 200 GB. I restore point vengono creati automaticamente e l’organizzazione può intervenire sui parametri disponibili attraverso le policy previste per le edizioni supportate.

La gestione applicativa riceve inoltre nuove opzioni per la rimozione tramite policy delle applicazioni Microsoft preinstallate in formato MSIX/APPX sulle edizioni Enterprise ed Education, mentre Remote Server Administration Tools è disponibile anche per dispositivi Arm64. Le nuove API di app update orchestration permettono infine alle applicazioni di coordinare meglio i propri aggiornamenti con Windows.

File Explorer, ricerca, Task Manager e accessibilità

Le modifiche visibili all’utente finale sono numerose e, proprio perché molte vengono distribuite attraverso Continuous Innovation, non è utile considerarle come un blocco monolitico che appare soltanto dopo l’installazione di 26H2.

Le funzionalità descritte nella documentazione del Windows 11 2026 Update possono variare in base al dispositivo, alla lingua e al mercato e alcune continuano a essere distribuite progressivamente anche dopo la disponibilità della release.

Distribuire Windows 11 26H2 con Microsoft Intune

Negli ambienti gestiti con Microsoft Intune, il metodo più controllabile per indirizzare una specifica versione di Windows rimane l’utilizzo delle Feature update policies. Nel Microsoft Intune admin center il percorso è Devices > Windows > Windows updates > Feature updates > Create profile.

All’interno del profilo è possibile selezionare la versione del feature update da distribuire, definire il comportamento del rollout e assegnare la configurazione ai gruppi previsti. La policy mantiene il dispositivo sulla versione selezionata fino a quando il criterio non viene modificato o rimosso.

Per l’utilizzo delle Feature Update policy, i dispositivi devono soddisfare i prerequisiti previsti dal servizio Windows Update for Business deployment service, compresi l’enrollment in Intune, un join supportato a Microsoft Entra ID o Microsoft Entra hybrid join, un’edizione Windows compatibile e le licenze richieste dal servizio. I dispositivi configurati esclusivamente come Microsoft Entra registered non rientrano nel modello supportato per questo scenario.

Attenzione alla combinazione tra Update rings e Feature update policies: quando la versione viene governata attraverso una Feature Update policy, non è consigliabile continuare a utilizzare il feature update deferral dell’Update ring come secondo meccanismo di targeting. Dopo che la policy è stata elaborata correttamente dal servizio, il valore Feature update deferral period (days) può essere portato a 0, continuando invece a utilizzare l’Update ring per restart, notifiche e le altre impostazioni relative all’esperienza di aggiornamento.

Verificare la compatibilità prima dell’assegnazione

Prima di ampliare il deployment è possibile utilizzare il Windows Feature Update Device Readiness Report e i report relativi ai compatibility risk disponibili in Intune. Questi dati permettono di individuare dispositivi, applicazioni o driver che richiedono ulteriori verifiche prima del passaggio alla nuova versione. Il report di readiness è disponibile nel percorso Reports > Windows updates > Reports > Windows Feature Update Device Readiness Report.

Windows Autopatch e rollout a più fasi

Negli ambienti che utilizzano Windows Autopatch, 26H2 può essere inserito in un deployment progressivo utilizzando le funzionalità di rilascio multi-phase. Il percorso nel Microsoft Intune admin center è Devices > Windows updates > Feature updates > Create Autopatch multi-phase release. Questo modello consente di utilizzare fasi distinte per pilot, early adopters e gruppi più estesi, mantenendo una Feature Update policy dedicata per ciascuna fase. In questo scenario ha senso preservare gli anelli già utilizzati dall’organizzazione e ampliare il deployment solo dopo avere raccolto dati sufficienti dalle fasi precedenti.

Le edizioni LTSC richiedono un discorso separato: il workload Feature Updates di Windows Autopatch non viene utilizzato per effettuare il passaggio tra release LTSC. Questi dispositivi devono quindi essere esclusi dalla pianificazione prevista per i normali client Windows 11 e gestiti con il percorso appropriato al loro ciclo di vita.

Distribuzione tramite WSUS

L’enablement package di Windows 11 26H2 è disponibile anche attraverso Windows Server Update Services. Per individuarlo è necessario utilizzare:

Il dispositivo deve trovarsi su Windows 11 24H2 o 25H2 e avere installato KB5124010 del 22 settembre 2026 oppure un aggiornamento cumulativo successivo. Una volta soddisfatti i prerequisiti, l’enablement package attiva la nuova versione con il successivo riavvio.

Windows 11 26H2 e Microsoft Configuration Manager

Per gli ambienti che utilizzano Microsoft Configuration Manager è necessario distinguere il supporto del sistema operativo client da quello della versione di Windows ADK utilizzata per il deployment. Windows 11 26H2, build 10.0.26300, è supportato come client da Configuration Manager 2603 e 2609, mentre Configuration Manager 2509 non supporta questa versione di Windows 11. Il Windows ADK 10.1.26100.9457 di settembre 2026, insieme al relativo Windows PE add-on, supporta Windows 11 26H2, 25H2 e 24H2. Prima di aggiornare boot image e processi OSD rimane comunque opportuno verificare separatamente la matrice di supporto dell’ADK per la versione di Configuration Manager utilizzata. Potete approfondire alla pagina Microsoft Learn – Support for Windows 11 in Configuration Manager.

Administrative Templates, Security Baseline e strumenti aggiornati

In concomitanza con la disponibilità di 26H2 sono stati aggiornati anche alcuni dei materiali utilizzati per progettare e amministrare le configurazioni Windows. Gli Administrative Templates (.admx) for Windows 11 Sep 2026 Update sono disponibili dal 29 settembre 2026 e includono le definizioni necessarie per le nuove policy della release. Sono inoltre disponibili risorse aggiornate per la security baseline, il riferimento delle Group Policy e l’ambiente di valutazione di Windows 11 Enterprise.

Prima di introdurre nuove impostazioni in produzione confrontate i template correnti con quelli utilizzati nell’infrastruttura, soprattutto in presenza di un Central Store per Group Policy o di amministrazione parallela tramite CSP e Microsoft Intune.

Problemi noti

Alla data del 3 ottobre 2026, Windows Release Health riporta tre problemi noti aperti per Windows 11 versione 26H2. Tutti risultano attualmente nello stato Mitigated, quindi dispongono di una mitigazione o di una soluzione temporanea, ma non sono ancora indicati come risolti

Il primo problema richiede particolare attenzione negli ambienti Active Directory. Con Windows 11 26H2 il sistema inizia a rispettare le configurazioni esistenti che abilitano l’enforcement di Machine Identity Isolation. Questa funzionalità è supportata negli ambienti collegati a domain controller con Windows Server 2025 Domain Functional Level o successivo; una configurazione precedentemente applicata in ambienti che non soddisfano il requisito può determinare la perdita del secure channel con il dominio. La mitigazione consiste nel disabilitare Machine Identity Isolation mediante lo stesso metodo utilizzato per abilitarla e, sui dispositivi già interessati, ripristinare successivamente il secure channel. Microsoft Learn

Per alcuni dispositivi USB Audio Class 1.0 possono invece verificarsi mancato avvio della periferica, Code 10, assenza dell’audio o controlli del volume non funzionanti. Il problema è limitato a questa classe di dispositivi e risulta attualmente mitigato, mentre una correzione completa è prevista in un aggiornamento successivo.

Il terzo problema è particolarmente interessante per perché riguarda principalmente ambienti Azure Virtual Desktop con FSLogix. Dopo l’accesso, alcuni dispositivi possono mostrare una schermata nera e non caricare automaticamente la sessione desktop; nei log applicativi possono inoltre comparire crash di Windows Explorer. Per gli ambienti gestiti è disponibile una mitigazione tramite Known Issue Rollback (KIR) associata a KB5124010, oltre alla possibilità temporanea di avviare manualmente explorer.exe.

Un ulteriore problema, documentato il 2 ottobre 2026, riguarda alcune applicazioni che utilizzano la decodifica AC-3 (Dolby Digital) integrata in Windows. Dopo l’installazione di KB5124010 o di aggiornamenti successivi, le applicazioni interessate possono non avviarsi, chiudersi senza preavviso oppure arrestarsi quando viene utilizzata una funzione che richiede la decodifica AC-3. Il problema riguarda soprattutto applicazioni legacy, mentre molte applicazioni moderne utilizzano componenti di decodifica propri e non risultano interessate. Al momento il problema è classificato come Confirmed e una correzione è prevista in un futuro aggiornamento di Windows

Lifecycle di Windows 11 26H2

Windows 11 26H2 apre un nuovo ciclo di servicing per la release: le edizioni Home e Pro sono supportate fino al 10 ottobre 2028, mentre Enterprise ed Education ricevono aggiornamenti fino al 9 ottobre 2029. La durata del supporto viene calcolata dalla disponibilità della versione e non dalla data in cui il singolo dispositivo viene aggiornato

Per le aziende che utilizzano Windows 11 24H2 Pro, la scadenza del 13 ottobre 2026 rende particolarmente urgente verificare il piano di aggiornamento. Le edizioni Enterprise ed Education di 24H2 hanno invece un ciclo di supporto più lungo e non condividono la stessa scadenza. Il passaggio a 26H2 porta quindi il dispositivo nel ciclo di servicing previsto per questa versione, mentre la scelta della tempistica di aggiornamento dovrebbe continuare a tenere conto dell’edizione utilizzata, dello stato del parco macchine e dei risultati della fase pilota.

Come verificare l’aggiornamento a Windows 11 26H2

Dopo il deployment, la verifica più immediata può essere effettuata da Settings > System > About, controllando il valore Version nella sezione Windows specifications. In alternativa, è possibile utilizzare anche il comodissimo winver.

Se siete più smanettoni, potete fare una verifica tramite PowerShell: è sufficiente interrogare le proprietà del sistema operativo:

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion' | Select-Object DisplayVersion, CurrentBuild, UBR

Dopo l’aggiornamento, DisplayVersion deve riportare 26H2, mentre la famiglia di build è 26300. Il valore completo della build e dell’UBR cambierà con gli aggiornamenti cumulativi successivi; quindi, non è opportuno costruire controlli permanenti basati esclusivamente sul valore 26300.9550.

In Microsoft Intune, la verifica dovrebbe essere completata con i report relativi alle Feature Update policy e con l’inventario della versione del sistema operativo, in modo da individuare dispositivi ancora in attesa dell’offerta, bloccati da una condizione di compatibilità o che non soddisfano i prerequisiti.

Come pianificare il rollout di Windows 11 26H2

La natura dell’enablement package permette di ridurre sensibilmente l’impatto tecnico dell’installazione, ma il processo di adozione dovrebbe restare quello utilizzato per qualsiasi modifica del sistema operativo. Una sequenza ragionevole consiste nel verificare innanzitutto readiness e compatibility risk, aggiornare il gruppo pilota, osservare applicazioni e periferiche realmente utilizzate, controllare i problemi noti e soltanto in seguito estendere progressivamente la distribuzione.

Particolare attenzione va dedicata alle impostazioni il cui comportamento predefinito cambia con 26H2, ai driver meno recenti, agli agent che operano a basso livello nel sistema operativo e agli ambienti che utilizzano Active Directory tradizionale. Sul fronte della gestione, conviene inoltre verificare ADMX, security baseline e strumenti di deployment prima di introdurre contemporaneamente nuove policy e una nuova versione del sistema operativo.

Windows 11 26H2 rappresenta quindi un aggiornamento tecnicamente leggero per i dispositivi 24H2 e 25H2, ma introduce comunque un nuovo punto di riferimento per servicing, sicurezza e gestione degli endpoint. L’enablement package semplifica l’installazione; readiness, compatibilità e controllo del rollout rimangono invece responsabilità operative da affrontare prima della distribuzione generale.