Microsoft corregge 3 zero-day nel Patch Tuesday e lascia aperto RoguePlanet

Microsoft pubblica il Patch Tuesday di giugno 2026 correggendo 200 vulnerabilità e affrontando tre zero-day già divulgati pubblicamente. Gli aggiornamenti interessano Windows 11, Windows 10, Windows Server, Azure, Office, Exchange, SharePoint, Hyper-V e numerosi altri componenti dell’ecosistema Microsoft. Le correzioni arrivano attraverso KB5094126 per Windows 11 25H2 e 24H2, KB5093998 per Windows 11 23H2 e KB5094127 per i dispositivi Windows 10 aderenti al programma Extended Security Update. Parallelamente il ricercatore Nightmare Eclipse rende pubblico RoguePlanet, un nuovo zero-day che colpisce Microsoft Defender e permette di ottenere privilegi SYSTEM tramite una race condition ancora non corretta. Il ciclo di aggiornamenti include inoltre nuove funzionalità per Windows 11, miglioramenti all’accessibilità e ottimizzazioni legate all’integrazione dell’hardware AI. Per aziende e utenti il rilascio rappresenta uno degli aggiornamenti più importanti del 2026 e richiede una distribuzione immediata per ridurre l’esposizione a vulnerabilità di Remote Code Execution, Elevation of Privilege, Denial of Service e bypass di meccanismi di sicurezza come BitLocker.

Il Patch Tuesday di giugno 2026 corregge 200 vulnerabilità

Il rilascio mensile di sicurezza affronta complessivamente 200 vulnerabilità, delle quali 33 classificate come critiche. Tra queste figurano 28 Remote Code Execution, 4 Elevation of Privilege e 1 Information Disclosure. Le categorie maggiormente rappresentate comprendono 65 Elevation of Privilege, 55 Remote Code Execution, 30 Information Disclosure, 27 Spoofing, 19 Security Feature Bypass e 7 Denial of Service. Gli aggiornamenti coprono una vasta gamma di prodotti Microsoft e riducono significativamente la superficie di attacco dell’intera piattaforma. L’intervento risulta particolarmente importante perché tre delle vulnerabilità corrette erano già note pubblicamente e quindi potenzialmente utilizzabili da ricercatori e attori malevoli per sviluppare exploit funzionanti. Il Patch Tuesday di giugno conferma inoltre la crescente complessità dell’ecosistema Windows, dove componenti desktop, server, cloud e produttività condividono sempre più codice e funzionalità che richiedono manutenzione continua.

GreenPlasma, HTTP/2 Bomb e YellowKey sono i tre zero-day corretti

Tra le vulnerabilità più rilevanti figurano CVE-2026-45586, CVE-2026-49160 e CVE-2026-50507, conosciute rispettivamente come GreenPlasma, HTTP/2 Bomb e YellowKey. GreenPlasma interessa il Windows Collaborative Translation Framework e consente una Elevation of Privilege fino ai privilegi SYSTEM tramite tecniche di link following. HTTP/2 Bomb colpisce HTTP.sys e permette un Denial of Service attraverso consumo incontrollato delle risorse mediante richieste HTTP/2 appositamente costruite. YellowKey rappresenta invece un Security Feature Bypass che coinvolge BitLocker e consente l’accesso a unità crittografate tramite attacco fisico in Windows Recovery Environment su configurazioni basate esclusivamente su TPM. Microsoft raccomanda in questo caso l’utilizzo della configurazione TPM+PIN per aumentare la protezione contro accessi non autorizzati. Sebbene non risultino sfruttati attivamente al momento della pubblicazione delle patch, questi tre zero-day dimostrano quanto sia importante mantenere aggiornati sistemi client e server.

KB5094126 e KB5093998 aggiornano Windows 11

Gli aggiornamenti KB5094126 e KB5093998 non si limitano alle sole correzioni di sicurezza ma introducono anche numerosi miglioramenti funzionali per Windows 11. Le build raggiungono rispettivamente 26200.8457 per la versione 25H2, 26100.8457 per la 24H2 e 22631.7079 per la 23H2. Tra le novità più interessanti compare Shared Audio, una funzione che consente a due persone di ascoltare contemporaneamente lo stesso flusso audio tramite Bluetooth LE Audio direttamente dalle Quick Settings. Il Task Manager introduce nuove colonne dedicate all’utilizzo della NPU, alla memoria dedicata e condivisa e allo stato di isolamento dei processi, mentre la sezione Performance mostra in modo più dettagliato i motori neurali presenti nel sistema. Miglioramenti significativi riguardano inoltre Magnifier, Windows Hello, Camera, File Explorer, Task Scheduler, touch keyboard, USB4, Dev Drive, UAC, gestione dei temi, caricamento delle icone desktop e affidabilità generale dell’interfaccia.

Windows 10 riceve KB5094127 tramite Extended Security Update

Per Windows 10, Microsoft distribuisce KB5094127 nell’ambito del programma Extended Security Update. L’aggiornamento interessa le build 19044.7417 e 19045.7417 e si rivolge ai dispositivi ancora supportati attraverso il programma ESU e alle versioni Enterprise LTSC. Oltre alle correzioni di sicurezza del Patch Tuesday, l’update introduce miglioramenti a File Explorer con un supporto più completo per testo cinese e file UTF-8 senza BOM. Microsoft aggiunge inoltre strumenti di monitoraggio per la distribuzione dei nuovi certificati Secure Boot destinati a sostituire quelli prossimi alla scadenza e introduce la policy LimitSecureBootRequiredServiceData per una gestione più avanzata dello stato di sicurezza. Non vengono introdotte nuove funzionalità consumer, coerentemente con la natura del programma ESU, il cui obiettivo resta quello di garantire continuità di protezione ai sistemi che non possono ancora essere migrati a Windows 11.

RoguePlanet colpisce Microsoft Defender e resta senza patch

La pubblicazione di RoguePlanet rappresenta uno degli aspetti più delicati del Patch Tuesday di giugno 2026. Il nuovo exploit, attribuito al ricercatore Nightmare Eclipse, sfrutta una race condition in Microsoft Defender e consente una Local Privilege Escalation fino ai privilegi SYSTEM. Il proof-of-concept pubblicato dimostra che l’attacco può funzionare anche su sistemi completamente aggiornati con KB5094126 installato. Originariamente il ricercatore aveva individuato un possibile percorso verso la Remote Code Execution tramite gestione di file remoti su condivisioni SMB, ma le modifiche introdotte da Microsoft a metà maggio hanno ridotto l’impatto all’escalation locale. Nonostante ciò, RoguePlanet rimane una minaccia concreta perché può essere utilizzato da malware o utenti già presenti sul sistema per ottenere il massimo livello di controllo sulla macchina. In assenza di una patch ufficiale, Microsoft e diversi esperti di sicurezza consigliano l’adozione di misure aggiuntive come application allowlisting, limitazione dei privilegi locali e monitoraggio avanzato dei processi.

Talos evidenzia le vulnerabilità più pericolose del rilascio

Gli analisti di Talos Intelligence segnalano diverse vulnerabilità considerate particolarmente pericolose per ambienti enterprise. Tra queste emerge CVE-2026-42985, una Remote Code Execution nel client Remote Desktop causata da un heap-based buffer overflow che potrebbe consentire esecuzione di codice da remoto. Un’altra vulnerabilità rilevante è CVE-2026-47291, che interessa HTTP.sys attraverso un integer overflow sfruttabile tramite traffico HTTP/2 appositamente costruito. Talos richiama inoltre l’attenzione su vulnerabilità nel componente grafico Win32K GRFX, nel kernel Windows, in Windows Media, Windows Deployment Services, DHCP Client, Office, Outlook e Word. Per facilitare il rilevamento di tentativi di sfruttamento, vengono pubblicate nuove regole Snort dedicate alla protezione delle infrastrutture aziendali e dei sistemi di monitoraggio di rete.

Microsoft raccomanda l’installazione immediata degli aggiornamenti

Microsoft invita utenti e amministratori a installare gli aggiornamenti il prima possibile utilizzando Windows Update oppure il Microsoft Update Catalog per il download manuale. Oltre all’installazione delle patch, l’azienda suggerisce misure specifiche per mitigare alcuni rischi. Per HTTP/2 Bomb è raccomandata la configurazione del parametro MaxHeadersCount nel registry, mentre per YellowKey viene suggerito il passaggio da configurazioni TPM-only a TPM+PIN per rafforzare la protezione di BitLocker. Nel caso di RoguePlanet, in attesa di un aggiornamento correttivo, risultano particolarmente utili soluzioni di application allowlisting, monitoraggio degli endpoint e riduzione dei privilegi amministrativi non necessari. Le organizzazioni dovrebbero inoltre aggiornare i sistemi di rilevamento delle intrusioni e distribuire rapidamente le nuove regole di sicurezza disponibili.

Un Patch Tuesday che rafforza Windows ma evidenzia nuove sfide

Il Patch Tuesday di giugno 2026 rappresenta uno dei più significativi dell’anno per volume di correzioni e varietà delle vulnerabilità affrontate. I 200 fix distribuiti da Microsoft riducono in modo sostanziale il rischio legato a Elevation of Privilege, Remote Code Execution, Information Disclosure e Security Feature Bypass, migliorando contemporaneamente l’esperienza d’uso di Windows 11 attraverso nuove funzionalità e ottimizzazioni. Tuttavia la comparsa di RoguePlanet dimostra che il lavoro di ricerca continua a individuare nuove debolezze anche in componenti centrali come Microsoft Defender. Per utenti privati e organizzazioni la lezione resta invariata: installare rapidamente gli aggiornamenti, mantenere una strategia di difesa multilivello e adottare misure di hardening complementari continua a essere il modo più efficace per ridurre il rischio operativo in un panorama di minacce in costante evoluzione.

Elenco vulnerabilità risolte