Patch Tuesday agosto 2026 corregge 400 falle e tre zero-day su Windows

🛡️ Executive Summary

• Microsoft corregge circa 400 vulnerabilità nel Patch Tuesday di agosto, comprese 42 falle Critical e tre zero-day.
• CVE-2026-68820 in AFD.sys è già sfruttata da Lazarus per ottenere SYSTEM e distribuire il rootkit kernel FudModule.
• Windows 11 riceve KB5121003 e KB5120240, mentre Windows 10 ESU e LTSC passa alle build 19045.7663 e 19044.7663 con KB5120249.

Microsoft pubblica uno dei Patch Tuesday più estesi del 2026, correggendo circa 400 vulnerabilità tra Windows, Office, SharePoint, Exchange, Azure, .NET e numerosi componenti enterprise. Il rilascio dell’11 agosto 2026 comprende 42 falle classificate Critical e soprattutto tre zero-day: una vulnerabilità del driver Windows Ancillary Function Driver for WinSock già sfruttata dal gruppo nordcoreano Lazarus, più due problemi precedentemente divulgati pubblicamente. Sul fronte client arrivano contemporaneamente KB5121003 per Windows 11 24H2 e 25H2, KB5120240 per Windows 11 23H2 e KB5120249 per i sistemi Windows 10 ancora coperti dal programma Extended Security Updates o dai rami LTSC. Il ciclo combina quindi patch urgenti, nuove protezioni Secure Boot e numerosi miglioramenti funzionali già anticipati nelle preview di luglio.

Microsoft corregge circa 400 vulnerabilità nel ciclo di agosto

Il nuovo ciclo di sicurezza comprende 176 vulnerabilità di elevation of privilege, 110 remote code execution, 86 information disclosure, 21 spoofing, 12 denial of service e 11 security feature bypass, con alcune CVE che possono rientrare in più classificazioni. Il dato più rilevante riguarda le 42 vulnerabilità Critical, delle quali 37 sono legate alla possibilità di eseguire codice remoto e cinque all’elevazione dei privilegi. La superficie interessata è estremamente ampia e comprende componenti Windows, Active Directory Certificate Services, Azure, Microsoft 365, Office, Excel, SharePoint, Exchange, .NET, GitHub Copilot e Visual Studio Code. Il quadro è consultabile nel Security Update Guide del Microsoft Security Response Center, che raccoglie CVE, prodotti interessati, gravità e aggiornamenti disponibili. Il volume conferma l’accelerazione già osservata nel Patch Tuesday di giugno, quando Microsoft aveva corretto tre zero-day, e supera ampiamente il ciclo di maggio con 120 vulnerabilità. Microsoft sta inoltre aumentando l’impiego di sistemi automatizzati e modelli AI nella vulnerability discovery, contribuendo alla crescita del numero di difetti individuati prima della loro trasformazione in exploit reali.

CVE-2026-68820 viene sfruttata da Lazarus contro Windows

Lo zero-day più urgente è CVE-2026-68820, una use-after-free nel Windows Ancillary Function Driver for WinSock, AFD.sys, già sfruttata in attacchi reali. Un utente locale autenticato può eseguire un’applicazione costruita appositamente per provocare una race condition nel driver e ottenere privilegi SYSTEM senza alcuna interazione dell’utente. Microsoft ha corretto il problema nel ciclo di agosto attraverso gli aggiornamenti Windows e lo classifica ufficialmente come exploited. Il bollettino MSRC di CVE-2026-68820 identifica quindi la falla come priorità immediata per workstation e server interessati. La vulnerabilità assume un peso superiore perché non si tratta di un exploit teorico: Check Point Research l’ha individuata dentro una nuova fase di Operation Dream Job, campagna attribuita a Lazarus contro aziende nei settori difesa, aerospazio e aviazione.

Lazarus usa lo zero-day per caricare FudModule nel kernel

La catena osservata da Check Point parte da false offerte di lavoro e applicazioni trojanizzate utilizzate per eseguire MISTPEN e altri moduli direttamente in memoria. Dopo avere profilato il sistema, il malware carica un exploit per CVE-2026-68820 e utilizza la corruzione della memoria in AFD.sys per ottenere una primitiva kernel read/write, elevando successivamente il processo a SYSTEM. Il risultato viene utilizzato per eseguire una nuova versione di FudModule, rootkit kernel di Lazarus progettato per ridurre la visibilità dei sistemi EDR, rimuovere callback di sicurezza e manipolare componenti di monitoraggio. La ricerca originale di Check Point su Operation Dream Job colloca l’utilizzo dello zero-day almeno all’inizio di luglio 2026 e indica che il bug è stato segnalato a Microsoft il 28 luglio, confermato il 31 luglio e corretto l’11 agosto. La tecnica completa un quadro nel quale Lazarus continua a utilizzare false opportunità professionali e malware contro sviluppatori e aziende e mostra perché una LPE locale possa diventare decisiva dopo un primo accesso ottenuto attraverso social engineering.

LegacyHive viene corretto come CVE-2026-62832

Il secondo zero-day è CVE-2026-62832, vulnerabilità di elevation of privilege nel Windows User Profile Service. Il problema nasce da una gestione impropria dei link prima dell’accesso ai file e consente a un utente autenticato in possesso delle credenziali di un altro account locale di caricarne l’hive del registro, accedere o modificare informazioni appartenenti all’altro profilo e arrivare a privilegi amministrativi. Microsoft considera la falla pubblicamente divulgata al momento della patch. Il comportamento coincide con quello descritto a luglio con il nome LegacyHive, quando era stato dimostrato che utenti non amministrativi potevano interferire con il registry hive di un account privilegiato e predisporre l’esecuzione di comandi quando l’amministratore effettuava successivamente il login. Matrice Digitale aveva già analizzato LegacyHive quando l’exploit funzionava sui sistemi completamente aggiornati a luglio 2026. Con il Patch Tuesday di agosto il percorso viene finalmente chiuso dal fix Microsoft per CVE-2026-62832.

Unionfs.sys rappresenta il terzo zero-day pubblico

Il terzo problema è CVE-2026-72971, vulnerabilità di tampering nel Windows Container Isolation FS Filter Driver, identificato come unionfs.sys. Anche in questo caso il problema riguarda una gestione non corretta dei link prima dell’accesso a una risorsa e richiede che l’attaccante disponga già di autenticazione locale. Microsoft la considera pubblicamente divulgata prima della disponibilità della correzione, requisito sufficiente per classificarla come zero-day secondo la terminologia del Security Response Center. Non risultano invece evidenze pubbliche di sfruttamento attivo paragonabili a quelle disponibili per CVE-2026-68820. Il bollettino MSRC relativo a CVE-2026-72971 rappresenta quindi la fonte di riferimento per versioni e prodotti interessati. La distinzione tra exploited e publicly disclosed resta essenziale: soltanto la falla AFD.sys è al momento associata ad attacchi reali, mentre le altre due dispongono di informazioni pubbliche che possono comunque accelerarne la weaponization.

KB5121003 aggiorna Windows 11 24H2 e 25H2

Per Windows 11 24H2 e 25H2, il pacchetto principale è KB5121003, che porta i sistemi rispettivamente alle build 26100.9168 e 26200.9168. L’update include tutte le correzioni di sicurezza del Patch Tuesday e incorpora anche le modifiche già distribuite con la preview KB5101684 di fine luglio. Microsoft specifica nel changelog ufficiale di KB5121003 che il rollout dei nuovi certificati Secure Boot continua su un numero maggiore di dispositivi attraverso dati di targeting ad alta affidabilità. Viene inoltre aggiornato il servicing stack con KB5123304 build 26100.9156, componente che migliora l’affidabilità del processo di installazione degli aggiornamenti. Microsoft non segnala al momento problemi noti specifici del pacchetto. L’update arriva poche settimane dopo il problema provocato da KB5101650 su alcuni notebook Dell, per il quale Microsoft aveva dovuto distribuire l’aggiornamento fuori banda KB5121767.

File Explorer, Search e Windows Hello ricevono nuove funzioni

KB5121003 porta in produzione anche numerose modifiche già testate nel ciclo preview. File Explorer mostra finalmente le dimensioni utilizzando automaticamente KB, MB e GB e permette di aprire cartelle in nuove schede con il clic centrale anche dalla barra degli indirizzi e dalla Home. Windows Search migliora il riconoscimento di errori di battitura e nomi parziali delle applicazioni, mentre Voice Access introduce Voice Isolation per separare la voce dell’utente dai rumori e dagli altri interlocutori. Il touchpad riceve controlli dedicati alla velocità di scroll e zoom, la gestione energetica diventa più coerente tra i diversi power plan e Windows Update modifica le routine di pulizia per ridurre l’impatto prestazionale dopo l’installazione delle patch. Una novità particolarmente importante riguarda Windows Hello Enhanced Sign-in Security, che inizia a supportare anche sensori biometrici esterni compatibili, estendendo ESS oltre i lettori integrati. L’aggiornamento consente inoltre di rimuovere il componente Image Generation AI dai Copilot+ PC supportati. Questi cambiamenti seguono la più ampia trasformazione di Windows 11 tra Search, AI e nuovi strumenti di sicurezza.

Windows 11 23H2 passa alla build 22631.7517

I sistemi ancora supportati con Windows 11 23H2 ricevono invece KB5120240, che porta il sistema alla build 22631.7517. Nel 2026 questo ramo interessa ormai soprattutto le edizioni Enterprise ed Education ancora all’interno della finestra di supporto. Il pacchetto integra le correzioni di sicurezza di agosto e diversi interventi di qualità, compresa la soluzione del problema che aveva fatto scomparire le GIF dal pannello Emoji dopo la cessazione del precedente servizio Tenor: Microsoft ha sostituito il provider con GIPHY. Il fix è documentato nel Windows Release Health ufficiale per Windows 11 23H2, mentre il pacchetto è distribuito anche attraverso Microsoft Update Catalog, Windows Update e gli strumenti enterprise. La disponibilità degli aggiornamenti amministrati resta un tema particolarmente importante dopo i ritardi e timeout WSUS osservati nel ciclo di luglio e il successivo fix manuale richiesto per ripristinare alcune sincronizzazioni SUSDB.

Windows 10 riceve KB5120249 attraverso ESU e LTSC

Windows 10 continua a ricevere patch soltanto sui sistemi che rientrano nel programma Extended Security Updates o nelle edizioni LTSC ancora supportate. Il nuovo KB5120249 porta Windows 10 22H2 alla build 19045.7663 e Windows 10 Enterprise LTSC 2021 e IoT Enterprise LTSC 2021 alla build 19044.7663. Il changelog Microsoft di KB5120249 indica, oltre alle patch di sicurezza, la correzione di un problema di File History: i backup automatici verso condivisioni di rete SMB potevano fallire riportando erroneamente credenziali non valide e non copiare alcun file. Il pacchetto estende inoltre il rollout dei nuovi certificati Secure Boot e Microsoft non segnala al momento problemi noti. Windows 10 è ormai entrato pienamente nella fase post-supporto ordinario, già evidente nei precedenti cicli Patch Tuesday che distribuivano aggiornamenti soltanto tramite ESU e LTSC.

I nuovi certificati Secure Boot diventano parte del patching mensile

Una parte trasversale del ciclo riguarda i certificati Secure Boot, la cui precedente generazione ha iniziato a raggiungere la scadenza nel giugno 2026. Microsoft sta distribuendo progressivamente nuovi certificati attraverso Windows Update sui sistemi idonei, utilizzando dati di targeting per ridurre il rischio di incompatibilità firmware e problemi di avvio. Sia KB5121003 sia KB5120249 aumentano il numero di dispositivi selezionati automaticamente per la migrazione. Microsoft precisa che i computer che non hanno ancora ricevuto le nuove credenziali continueranno comunque ad avviarsi e a installare i normali aggiornamenti Windows, ma il processo deve essere completato prima che le vecchie catene di fiducia diventino un ostacolo alla protezione del boot. Il tema era già emerso nei mesi precedenti, quando il Patch Tuesday di marzo aveva iniziato a distribuire i certificati destinati a sostituire quelli del 2011. In ambito enterprise la gestione deve essere coordinata con firmware, BitLocker, policy Secure Boot e immagini di deployment, soprattutto quando vengono aggiornati supporti WinPE o installazioni offline.

Lo zero-day AFD.sys rende urgente il rollout di agosto

Il volume di 400 vulnerabilità rende il Patch Tuesday di agosto uno dei cicli più impegnativi dell’anno, ma la priorità operativa non deve essere determinata soltanto dal numero totale. CVE-2026-68820 è già stata utilizzata da Lazarus, mentre CVE-2026-62832 e CVE-2026-72971 erano note pubblicamente prima del rilascio delle patch. Gli amministratori devono quindi accelerare almeno l’aggiornamento degli endpoint e dei server sui quali un accesso locale iniziale potrebbe essere trasformato in SYSTEM, senza trascurare le numerose RCE Critical distribuite tra Office, SharePoint, Azure e altri servizi Microsoft. L’esperienza recente con Netlogon, corretto e successivamente osservato negli attacchi contro sistemi non aggiornati, mostra quanto rapidamente la distanza tra disponibilità della patch e sfruttamento possa ridursi. Il ciclo di agosto conferma quindi una regola ormai stabile per Windows: i Patch Tuesday non rappresentano più semplicemente manutenzione mensile, ma una finestra temporale nella quale vulnerabilità pubbliche, exploit attivi e nuove correzioni entrano contemporaneamente nella stessa superficie operativa.