Microsoft patch tuesday corregge 134 vulnerabilità e zero-day sfruttato da RansomEXX

Aprile 2025 segna un aggiornamento critico per la sicurezza degli utenti Windows: Microsoft patch tuesday ha rilasciato un aggiornamento cumulativo che risolve ben 134 falle di sicurezza nei suoi sistemi operativi e software. Tra queste, una in particolare si è distinta per la sua pericolosità: si tratta della vulnerabilità CVE-2025-29824, già attivamente sfruttata da gruppi ransomware come RansomEXX.

Un aggiornamento Patch Tuesday tra i più importanti dell’anno

L’aggiornamento mensile, noto come Patch Tuesday, ha visto Microsoft impegnata nella risoluzione di un numero particolarmente alto di bug. Nello specifico, 63 vulnerabilità sono state classificate come critiche o di elevata severità. La più allarmante è CVE-2025-29824, un use-after-free nel Common Log File System (CLFS) che consente l’elevazione dei privilegi a livello SYSTEM.

L’exploit non richiede l’interazione dell’utente, è semplice da implementare e sfrutta basse autorizzazioni per compromettere i sistemi target. Il gruppo ransomware RansomEXX, conosciuto anche come Storm-2460, ha utilizzato questo bug per veicolare un malware chiamato PipeMagic, che consente il controllo remoto del sistema, il furto di dati e la distribuzione di payload malevoli.

Obiettivi mirati e distribuzione geografica degli attacchi

Le organizzazioni colpite includono aziende del settore tecnologico negli Stati Uniti, istituzioni finanziarie in Venezuela, un’azienda di software spagnola, e attori del commercio al dettaglio in Arabia Saudita. Nonostante la gravità, Microsoft precisa che l’attacco è stato limitato a pochi casi.

Patch incomplete per Windows 10: aggiornamenti in arrivo

Mentre la falla è già stata risolta per la maggior parte delle versioni di Windows, gli utenti Windows 10 (sia 64-bit che 32-bit) dovranno attendere ulteriori aggiornamenti. Microsoft ha garantito che le patch mancanti verranno distribuite il prima possibile.

Aggiornamenti cumulativi per Windows 11 e 10: nuove build e correzioni

Contestualmente al Patch Tuesday, Microsoft ha rilasciato anche aggiornamenti KB5055523 e KB5055528 per Windows 11 e KB5055518 per Windows 10. Questi aggiornamenti portano nuove build, correggono bug noti e migliorano la sicurezza.

Su Windows 11 24H2, viene risolta un’importante vulnerabilità che provocava problemi di autenticazione in ambienti aziendali dove era attivo il Credential Guard con Kerberos PKINIT. L’errore impediva il corretto cambio delle password ogni 30 giorni, causando account disabilitati o bloccati. Sebbene il problema fosse circoscritto a scenari aziendali, Microsoft ha temporaneamente disabilitato gli account macchina nel Credential Guard fino al rilascio di una soluzione definitiva.

Stabilità migliorata nella stampa su Windows 10

L’aggiornamento KB5055518 per Windows 10 ha corretto un bug che causava caratteri casuali durante la stampa, un problema segnalato da diversi utenti nelle scorse settimane. Anche in questo caso, la build è stata aggiornata per includere le ultime patch di sicurezza.

Storico di vulnerabilità nel CLFS: un vettore sempre attivo

Questa non è la prima volta che la Common Log File System Driver viene sfruttata. Nel 2023, Microsoft ha già affrontato una vulnerabilità simile (CVE-2023-28252) utilizzata per attacchi ransomware. Anche in quel caso, era coinvolto il malware PipeMagic, scoperto inizialmente da Kaspersky durante un’indagine su attacchi Nokoyawa.

Evoluzione di RansomEXX: da Defray a minaccia globale

Il gruppo RansomEXX, attivo dal 2018 con il nome Defray, ha acquisito visibilità a partire dal 2020. Da allora ha colpito importanti organizzazioni, tra cui Gigabyte, Konica Minolta, il Dipartimento dei trasporti del Texas (TxDOT), il sistema giudiziario brasiliano, il trasporto pubblico di Montréal, e il fornitore governativo Tyler Technologies.

Reazione consigliata: aggiornare immediatamente i sistemi

Microsoft ha raccomandato a tutti gli utenti, specialmente quelli in ambito enterprise, di installare immediatamente le patch di aprile 2025. Gli utenti di Windows 11 24H2 sono meno esposti, ma non completamente immuni. Per i sistemi ancora sprovvisti delle patch (in particolare Windows 10), è cruciale limitare i privilegi degli utenti e monitorare eventuali anomalie nei log di sistema.

Un’azione coordinata contro un vettore noto e ancora sfruttato

La gravità della vulnerabilità e l’evidenza di un suo sfruttamento attivo da parte di un gruppo strutturato confermano la necessità di strategie proattive di aggiornamento, soprattutto in contesti aziendali. La persistenza di vettori noti come CLFS richiede interventi continui, sia tecnici che educativi, da parte dei reparti IT e delle aziende di sicurezza.

Ecco la lista completa delle vulnerabilità risolte: