Il Patch Tuesday di giugno 2026 è uno dei più corposi dell'anno: Microsoft ha rilasciato correzioni per 200 vulnerabilità, di cui 33 classificate come critiche — 28 consentono l'esecuzione di codice remoto, 4 l'elevazione di privilegi e una la divulgazione di informazioni. Nel conteggio non rientrano le 360 falle di Edge/Chromium già corrette da Google nelle scorse settimane.

Tre zero-day già di dominio pubblico

L'aggiornamento chiude tre vulnerabilità divulgate pubblicamente prima della disponibilità della patch. Secondo Microsoft nessuna delle tre risulta al momento sfruttata in attacchi reali, ma la disponibilità dei dettagli tecnici rende urgente l'installazione degli aggiornamenti.

La prima è CVE-2026-45586, una falla di elevazione di privilegi nel componente CTFMON di Windows che consente di ottenere i privilegi SYSTEM: corrisponde all'exploit noto come "GreenPlasma", diffuso dal ricercatore che si firma Nightmare Eclipse. La seconda, CVE-2026-49160, riguarda HTTP.sys ed è legata alla tecnica di denial of service "HTTP/2 Bomb", in grado di mandare in crash un server web in meno di un minuto. La terza, CVE-2026-50507, è un bypass di BitLocker (l'exploit "YellowKey") che permette a un attaccante con accesso fisico di leggere i dati di un'unità cifrata.

Due dei tre zero-day arrivano dallo stesso ricercatore, che negli ultimi mesi ha pubblicato una serie di exploit per Windows — tra cui BlueHammer, MiniPlasma e RedSun — in polemica con la gestione dei programmi di bug bounty di Microsoft.

La falla più pericolosa: un bug wormable nel kernel

Gli analisti della Zero Day Initiative segnalano come priorità assoluta CVE-2026-45657, una vulnerabilità di esecuzione di codice remoto nel kernel di Windows con punteggio CVSS 9.8: può essere sfruttata da remoto senza autenticazione né interazione dell'utente e ha caratteristiche wormable, cioè potrebbe essere usata per propagarsi automaticamente da una macchina all'altra. Stesso punteggio per CVE-2026-47291 in HTTP.sys, anch'essa sfruttabile da remoto senza autenticazione.

Da segnalare anche un nutrito gruppo di falle critiche in Microsoft Office e Outlook, alcune delle quali sfruttabili tramite il solo pannello di anteprima dei messaggi.

Cosa fare

L'invito è installare subito gli aggiornamenti tramite Windows Update o WSUS, dando priorità ai sistemi esposti su Internet e ai server web. Gli utenti di Windows 10 che hanno aderito al programma Extended Security Updates ricevono le correzioni con il pacchetto KB5094127. Nella stessa giornata anche Google, Cisco, Adobe, SAP e Veeam hanno pubblicato i rispettivi bollettini di sicurezza: per gli amministratori IT è la settimana giusta per un giro completo di patch.