Patch Tuesday di giugno 2026: Microsoft supera ogni record con quasi 200 vulnerabilità risolte
Microsoft ha rilasciato aggiornamenti per quasi 200 vulnerabilità nei suoi sistemi operativi Windows e software supportati, il numero più alto mai registrato per un Patch Tuesday. Di queste, tre dozzine hanno ricevuto il rating “critico”, il più grave nella scala Microsoft, e per almeno tre falle è già disponibile codice di exploit pubblico.
Secondo Satnam Narang, senior staff research engineer di Tenable, l’incremento è destinato a diventare la norma. «Secondo alcuni sondaggi, il 90% dei professionisti della sicurezza utilizza già strumenti di AI. Non sorprende che questo volume di patch possa diventare la nuova normalità», ha dichiarato. «Il vaso di Pandora è ormai aperto, e con l’arrivo di modelli AI più avanzati ci aspettiamo che il trend continui a salire».
Tra le vulnerabilità zero-day risolte a giugno spicca CVE-2026-49160, un bug di denial of service che colpisce vari web server, tra cui Microsoft Internet Information Services (IIS). La falla è stata segnalata direttamente da OpenAI Codex. Due ulteriori zero-day sembrano legati alle recenti divulgazioni di Nightmare Eclipse, pseudonimo di un ricercatore che ha pubblicato exploit per diverse falle di Windows. Una di queste, chiamata GreenPlasma, sfrutta una vulnerabilità di elevazione dei privilegi nel Windows Collaborative Translation Framework, lo stesso componente corretto oggi con CVE-2026-45586.
Nightmare Eclipse ha anche rilasciato a maggio YellowKey, un exploit per un bug di BitLocker che consente a un attaccante con accesso fisico di visualizzare dati crittografati. Ora Microsoft ha rilasciato una patch con CVE-2026-50507 per un’elevazione di privilegi in BitLocker.
«Alcuni ricercatori hanno evitato di collaborare con Microsoft dopo che l’azienda ha corretto silenziosamente una falla da loro segnalata senza riconoscere il contributo»
Microsoft ha ricevuto forti critiche sui social dopo un post in cui minacciava azioni legali contro Nightmare Eclipse. L’azienda ha poi chiarito di non voler perseguire i ricercatori, ma di segnalarli alle autorità solo in caso di violazioni di legge. Gli advisory per CVE-2026-49160 e CVE-2026-50507 non menzionano alcun ricercatore, limitandosi a ringraziare genericamente «gli sforzi della comunità della sicurezza».
Nightmare Eclipse sostiene di essere un ex dipendente Microsoft, ma l’azienda non ha risposto alle domande. Rapid7 ha notato che un suo post includeva l’immagine di Albert Wesker, personaggio di Resident Evil che lavorava per un’azienda tecnologica prima di diventare un fuorilegge. Il ricercatore ha promesso un rilascio ancora più massiccio di exploit per Windows il 14 luglio, in coincidenza con il prossimo Patch Tuesday, definendolo un «drop sconvolgente». Immediatamente dopo il rilascio delle patch di oggi, ha pubblicato un exploit per una presunta zero-day in Windows Defender.
Il numero reale di falle corrette da Microsoft a giugno è ancora più alto del record di Patch Tuesday. Adam Barnett di Rapid7 spiega: «Finora questo mese Microsoft ha rilasciato patch per 360 vulnerabilità del browser, un ordine di grandezza superiore alla media degli ultimi anni. Come al solito, i bug del browser non sono contati nel Patch Tuesday. L’aumento è tale che Microsoft ha smesso di elencare i CVE di Chromium nella guida agli aggiornamenti».
Microsoft ha anche corretto una zero-day in Visual Studio Code che permetteva di rubare token GitHub con un clic. L’azienda è stata costretta a rilasciare una patch d’emergenza il 3 giugno, dopo che un ricercatore aveva pubblicato le istruzioni per sfruttarla. Il ricercatore ha dichiarato di aver evitato di collaborare con Microsoft a causa di una precedente esperienza in cui l’azienda aveva corretto silenziosamente una sua segnalazione senza dargli credito.
Non solo Microsoft: anche Adobe ha rilasciato aggiornamenti per un numero massiccio di vulnerabilità critiche in Adobe Experience Manager, Acrobat Reader e ColdFusion. Google ha risolto il 3 giugno ben 429 vulnerabilità nell’ultimo aggiornamento di Chrome (l’auto-update scarica le patch, ma spesso serve un restart completo del browser).
Come sempre, prima di applicare gli aggiornamenti del sistema operativo, è consigliabile fare un backup dei dati.
