Aggiornamenti di Windows, agosto 2026: Microsoft corregge LegacyHive e altre 400 falle

Il 14 luglio scorso, il famoso/famigerato ricercatore che si firma Nightmare Eclipse (oppure Chaotic Eclipse) aveva pubblicato un proof-of-concept per una falla di Windows non corretta, battezzandola LegacyHive. Il tempismo , come sempre, era stato chirurgico: poche ore dopo il ciclo di aggiornamenti Microsoft di luglio, il momento peggiore possibile per chi amministra sistemi. Da quel giorno gli amministratori si sono ritrovati con un exploit pubblico in circolazione e zero correzioni ufficiali. Microsoft non ha rilasciato alcuna patch d'emergenza fuori ciclo: il fix è arrivato solo con il normale ciclo di aggiornamento di agosto 2026, ovvero alcuni giorni fa.

Cosa fa davvero LegacyHive

La vulnerabilità colpisce il Windows User Profile Service e permette un'elevazione di privilegi. Microsoft la classifica come «probabile che venga sfruttata» - nel gergo di Redmond, una traduzione libera di "prendetela sul serio, subito".

La meccanica è elegante nella sua semplicità. «Questa vulnerabilità consente a un utente standard di costringere il User Profile Service a caricare l'hive di registro di un altro utente - incluso quello di un amministratore - ottenendo accesso non autorizzato ai dati di registro Classes di quell'utente», spiega Chris Goettl, VP of Product Management per i prodotti di sicurezza di Ivanti. Tradotto: un attaccante già dentro il sistema, anche con privilegi minimi, esegue un'applicazione costruita ad hoc e ne esce amministratore.

Non è un bug che apre la porta d'ingresso. È quello che permette di salire le scale una volta dentro. Ed è rimasto sfruttabile, con codice pubblico a disposizione di chiunque, per oltre un mese.

Lo zero-day che qualcuno sta già usando

Se LegacyHive era il rischio annunciato, CVE-2026-68820 è quello concreto. Secondo Krebs on Security è l'unica falla di questo mese confermata come attivamente sfruttata: una use-after-free in afd.sys, l'Ancillary Function Driver per WinSock, che consente a un attaccante locale con privilegi bassi di arrivare a SYSTEM.

L'advisory di Microsoft è asciutto: «Un attaccante autenticato localmente potrebbe eseguire un'applicazione appositamente costruita su un sistema vulnerabile per innescare una race condition. Non è richiesta interazione dell'utente».

Landon Miles di Automox spiega perché il punteggio CVSS relativamente contenuto non deve trarre in inganno: «Non è un bug della porta d'ingresso. È il passo due di una catena: l'attaccante entra con il phishing ottenendo un appiglio a bassi privilegi, poi usa la falla del driver per prendersi la macchina. Il punteggio 7.0 riflette l'elevata complessità dell'attacco, perché le race condition sono capricciose. L'exploit va lanciato ripetutamente finché il timing non va a segno. Evidentemente qualcuno ci sta riuscendo lo stesso».

Quel qualcuno ha un nome, o quantomeno una nazionalità. I ricercatori di Check Point riferiscono che la falla è stata sfruttata da attaccanti nordcoreani per installare un rootkit in kernel mode, nell'ambito di una nuova ondata della campagna Operation Dream Job.

Quattrocento e passa, e il conto non torna

Il volume di questo Patch Tuesday è la notizia nella notizia. Krebs on Security parla di almeno 398 vulnerabilità corrette, CrowdStrike ne conta 415, Help Net Security si limita a «oltre 400». Anche sulle critiche i numeri divergono: 42 secondo Krebs, 62 secondo CrowdStrike, che aggiunge altre 349 falle di severità varia. Quando i conteggi ballano di venti unità su una singola categoria, il segnale è chiaro: la mole è tale che perfino catalogarla è diventato un esercizio di interpretazione.

Per dare una scala: agosto vale circa il doppio di giugno 2026, che con quasi 200 correzioni era considerato allora un record. Resta comunque sotto il picco di luglio, oltre 570 aggiornamenti di sicurezza. La ripartizione di CrowdStrike per tecnica di sfruttamento indica dove si concentra il problema: 174 patch per elevazione di privilegi (42%), 109 per esecuzione di codice remoto (26%), 85 per divulgazione di informazioni (20%).

L'intelligenza artificiale trova i bug più in fretta di quanto li si corregga

Microsoft attribuisce l'impennata alla scoperta di vulnerabilità assistita da IA, e gli esperti si aspettano che d'ora in poi i Patch Tuesday coprano stabilmente centinaia di falle. Il fenomeno non riguarda solo Redmond: Adobe, Cisco, Google, Mozilla e Oracle stanno tutti aumentando volume e cadenza dei rilasci. Adobe ha già spostato i propri bollettini a due volte al mese, secondo e quarto martedì, a partire dal mese scorso.

Resta una domanda scomoda per chi amministra i sistemi: se gli strumenti automatici scovano i bug più velocemente di quanto i cicli mensili riescano a distribuire le correzioni, la finestra di esposizione si allarga in modo strutturale, non occasionale. LegacyHive è esattamente questo scenario in miniatura.

Le altre da guardare per prime

Oltre ai due protagonisti, vi sono patch per altre falle pubblicamente divulgate.

CVE-2026-72971 è un problema di manomissione locale a basso impatto nel Container Isolation FS Filter Driver (unionfs.sys), che Microsoft giudica improbabile da sfruttare e che riguarda solo i sistemi Windows 11 su ARM64.

CVE-2026-62737, elevazione di privilegi nel kernel di Windows, è segnalata come pubblicamente divulgata da CrowdStrike ma non riconosciuta come tale da Microsoft: «Il 9 agosto 2026 è stato pubblicato un blog in lingua cinese che descrive un exploit proof-of-concept in grado di provocare il crash del sistema».

Tra le critiche non zero-day, tre meritano la priorità in fase di rollout. CVE-2026-62815 colpisce Microsoft QUIC ed è sfruttabile da attaccanti non autenticati con un pacchetto di rete costruito ad hoc: «Uno sfruttamento riuscito potrebbe consentire all'attaccante di eseguire codice sul sistema bersaglio. Non è richiesta autenticazione né interazione dell'utente», scrive Microsoft.

CVE-2026-62878 è un buffer overflow su stack nel DNS di Windows che porta a esecuzione di codice remoto, descritto come sfruttabile in modo semplice, affidabile e da remoto senza autenticazione.

CVE-2026-63520, scoperta dai ricercatori di Rapid7, riguarda SharePoint e può essere concatenata a una falla già corretta in precedenza, CVE-2026-55040.

La lezione operativa di questo agosto è meno tecnica di quanto sembri. Un ricercatore pubblica un exploit funzionante, il vendor risponde secondo il proprio calendario, e in mezzo restano trenta giorni in cui la difesa dipende interamente da controlli compensativi e da quanto rigidamente si limita chi può eseguire cosa. Chi ha ancora l'aggiornamento di agosto in coda ha già bruciato tutto il margine a disposizione.

Anche perché, nel frattempo, Nightmare Eclipse ha rilasciato un nuovo exploit:

» Leggi: Nightmare Eclipse colpisce ancora: ShieldBreak sfrutta Microsoft Defender per ottenere privilegi SYSTEM su Windows completamente aggiornato

Fonti: bleepingcomputer.com, crowdstrike.com, theregister.com