Il Patch Tuesday di giugno 2026 — già record per numero di vulnerabilità corrette (più di 200 CVE) — ha incluso anche la chiusura di tre zero-day divulgati pubblicamente da un ricercatore anonimo che opera con il nome di Nightmare Eclipse. Le tre falle, soprannominate YellowKey, GreenPlasma e MiniPlasma, permettono rispettivamente di aggirare la crittografia BitLocker e di ottenere privilegi SYSTEM su sistemi Windows completamente aggiornati.
Il contesto: chi è Nightmare Eclipse
Nightmare Eclipse, talvolta citato anche come Chaotic Eclipse, è un ricercatore di sicurezza anonimo che da aprile 2026 ha intrapreso una campagna di divulgazione pubblica di zero-day Windows — senza attendere la risposta o la patch di Microsoft — in aperta protesta contro la gestione del programma di bug bounty e dei processi di divulgazione dell'azienda. Nel giro di poche settimane ha pubblicato exploit per una serie di vulnerabilità, costringendo Microsoft a correre ai ripari fuori dai normali cicli di aggiornamento.
YellowKey: BitLocker non è più garanzia
YellowKey (CVE-2026-45585) colpisce il Windows Recovery Environment (WinRE), l'ambiente di ripristino avviabile che Windows usa per riparare problemi legati al boot. La falla consente a un attaccante con accesso fisico al dispositivo di eludere la protezione BitLocker su sistemi Windows 11 e Windows Server 2022/2025 non patchati.
L'exploit si attiva posizionando file appositamente costruiti all'interno di una directory specifica su una chiavetta USB oppure direttamente nella partizione EFI: all'avvio in modalità WinRE, il sistema tratta quei file come legittimi e consente l'accesso ai dati cifrati senza richiedere la chiave di cifratura. Per le organizzazioni che si affidano a BitLocker come principale protezione dei dati su laptop aziendali — specialmente in scenari di furto o smarrimento — questa vulnerabilità ridimensiona significativamente le garanzie offerte dalla tecnologia.
GreenPlasma: escalation di privilegi via CTFMON
GreenPlasma (CVE-2026-45586) risiede nel Collaborative Translation Framework, il componente Windows gestito dal processo ctfmon.exe e legato alla gestione dell'input multilingue. Sfruttando questa falla, un attaccante locale può ottenere una shell con privilegi SYSTEM su sistemi Windows completamente aggiornati — ovvero, il livello di accesso più elevato possibile sul sistema operativo.
La criticità di GreenPlasma è amplificata dal fatto che non richiede credenziali particolari: un utente con accesso limitato al sistema, o un processo malevolo già in esecuzione con diritti standard, può usare l'exploit per elevarsi al controllo totale della macchina.
MiniPlasma: un bug del 2020 mai davvero corretto
MiniPlasma è forse la più emblematica delle tre, perché racconta una storia di patch incomplete. La vulnerabilità risiede nel driver cldflt.sys (Cloud Filter Driver), che gestisce i file sincronizzati con servizi cloud come OneDrive, nella routine HsmOsBlockPlaceholderAccess. Il ricercatore di Google Project Zero James Forshaw aveva già segnalato lo stesso problema a Microsoft nel settembre 2020: era stato rilasciato un aggiornamento, ma la correzione era parziale o incompleta, lasciando aperto il vettore d'attacco che MiniPlasma sfrutta per ottenere privilegi SYSTEM.
Questo tipo di regressione — o di fix mai completato — è particolarmente delicato perché i team di sicurezza tendono a considerare i problemi "già patchati" come risolti, abbassando la guardia su componenti che invece rimangono vulnerabili.
Cosa fare
Tutte e tre le vulnerabilità sono state corrette con gli aggiornamenti del Patch Tuesday di giugno 2026. L'unica contromisura efficace è installare gli aggiornamenti disponibili tramite Windows Update il prima possibile. Per YellowKey, in attesa della patch o in ambienti dove l'aggiornamento non può essere applicato immediatamente, è consigliabile valutare controlli fisici aggiuntivi sui dispositivi e l'abilitazione delle protezioni TPM più restrittive per l'accesso all'ambiente WinRE.
Il caso Nightmare Eclipse ricorda, non per la prima volta, che i programmi di bug bounty e i processi di divulgazione coordinata sono fondamentali per mantenere un rapporto di fiducia con la comunità dei ricercatori di sicurezza: quando quel rapporto si rompe, le conseguenze ricadono sugli utenti finali.
