Patch Tuesday di febbraio, Microsoft correge sei zero-day già usate in attacchi reali e avvia la rotazione dei certificati Secure Boot

12/02/2026 SCIENZA E TECNOLOGIA Preferisci Informazione.News su Google

Redazione Scienza e Tecnologia   -   Non è tanto il numero, pur considerevole, delle cinquantanove vulnerabilità complessivamente obliterate dagli ingegneri di Redmond nell’ultimo ciclo mensile di aggiornamenti – il dato si attesta infatti in linea con le medie stagionali – quanto piuttosto la qualità e lo stato di avanzamento di alcune minacce specifiche a catalizzare l’attenzione degli amministratori di sistema e dei ricercatori che monitorano il Patch Tuesday di febbraio 2026. Microsoft ha rilasciato i consueti bollettini di sicurezza il 10 febbraio, e il quadro che emerge è duplice: da un lato, la presenza massiccia di sei falle zero-day, tutte già oggetto di sfruttamento attivo in campagne malevole ben prima che il colosso potesse distribuire i relativi fix; dall’altro, l’avvio di una delle più complesse operazioni di manutenzione dell’infrastruttura critica mai tentate su scala globale, ovvero la sostituzione dei certificati digitali alla base del meccanismo Secure Boot, i quali – dopo aver operato ininterrottamente per un quindicennio – andranno in scadenza a partire dal prossimo giugno -2-5.

Sei zero-day e la catena di exploit che aggira le difese

L’elemento più immediatamente preoccupante, per chi ha il compito di preservare l’integrità di parchi macchina anche molto estesi, risiede nella natura delle sei vulnerabilità classificate come già sfruttate in natura. Tre di queste, peraltro, erano state pubblicamente divulgate prima ancora che Microsoft potesse confezionare un rimedio, circostanza che riduce drasticamente i tempi di reazione consentiti ai reparti IT e aumenta esponenzialmente la probabilità di incidenti -3-10. Tra le falle più insidiose figura CVE-2026-21510, un bypass delle funzionalità di sicurezza di Windows Shell e SmartScreen che – basandosi sull’ingegneria sociale piuttosto che su tecniche di intrusione particolarmente elaborate – consente a un aggressore di annullare i classici avvisi di sicurezza semplicemente convincendo la vittima ad aprire un collegamento o un file di scelta rapida confezionato ad arte; l’attacco, di fatto, neutralizza il sistema Mark of the Web che avrebbe dovuto segnalare la provenienza remota e inaffidabile del contenuto -1-7. Analogamente, CVE-2026-21513 colpisce il framework MSHTML, componente ancora ereditato dai vecchi motori di rendering di Internet Explorer, e CVE-2026-21514 interessa Microsoft Word aggirando le mitigazioni OLE che dovrebbero impedire l’esecuzione di codice arbitrario all’interno di documenti malevoli: tutte condividono la caratteristica di abbattere barriere percettive e tecniche cui l’utente medio, ormai, faceva implicito affidamento -1-4.

Parallelamente, lo spettro dei rischi si estende al versante dell’elevazione dei privilegi. CVE-2026-21519, che affligge il Desktop Window Manager, e CVE-2026-21533, localizzato nei servizi Desktop remoto, sono entrambe vulnerabilità di tipo locale che permettono a un utente malintenzionato già in possesso di un accesso limitato al sistema di scalare fino ai massimi livelli, inclusi i privilegi di SYSTEM -8-10. Non è irrilevante notare come CVE-2026-21533 sia stata individuata dai team di CrowdStrike nel corso di attività di incident response, il che implica che sfruttamenti di questa falla siano già occorsi in ambienti operativi reali e abbiano consentito l’aggiunta di nuovi account al gruppo degli amministratori locali. Per CVE-2026-21525, invece, un difetto di denial of service nel Connection Manager di accesso remoto (RasMan), la scoperta presenta una genesi peculiare: i ricercatori di ACROS Security hanno rinvenuto un exploit funzionante all’interno di un repository pubblico di malware già alla fine del 2025, circostanza che dimostra quanto il codice malevolo fosse già circolante tra attori minacciosi prima ancora che la falla ricevesse una denominazione ufficiale -4-8.

L’aggiornamento della radice fiduciaria: il rinnovo dei certificati Secure Boot

Se le sei zero-day rappresentano l’emergenza tattica del mese, il programma di rinnovo dei certificati Secure Boot incarna invece una transizione epocale per l’architettura di sicurezza dei sistemi Windows moderni. Introdotto con Windows 8 e reso obbligatorio con l’avvento di Windows 11, Secure Boot costituisce il primo anello della catena di fiducia che parte dal firmware UEFI e, attraverso la verifica crittografica dei componenti coinvolti nella sequenza di avvio, assicura che nessun codice non firmato o manomesso venga eseguito prima del caricamento del sistema operativo -5-9. I certificati oggi in uso – e che andranno progressivamente in pensione da giugno 2026 – risalgono al 2011, e la loro durata operativa ha abbondantemente superato i termini usuali di rotazione; Microsoft ha pertanto avviato, in stretta collaborazione con i produttori di hardware come Dell, HP e Lenovo, la distribuzione graduale dei nuovi certificati attraverso i canali ordinari di Windows Update -2-5.

La complessità dell’operazione, che interessa centinaia di milioni di dispositivi e richiede la coordinazione con innumerevoli implementazioni firmware personalizzate, ha indotto il gruppo di Redmond a procedere con una metodologia prudenziale: i nuovi certificati vengono rilasciati in modo cadenzato e solo verso quelle macchine che i sistemi di telemetria diagnostica indicano come pronte a riceverli senza incorrere in malfunzionamenti -4-5. Per la stragrande maggioranza degli utenti, in particolare quelli con PC assemblati dal 2024 in poi o dispositivi commercializzati nel corso del 2025, l’intera procedura sarà trasparente e non richiederà alcuna azione manuale. Tuttavia, per una frazione di sistemi meno recenti, potrebbe rendersi necessario un aggiornamento del firmware UEFI fornito singolarmente dal costruttore della scheda madre; Microsoft ha esortato gli amministratori a verificare la disponibilità di tali aggiornamenti presso i portali dei rispettivi OEM per scongiurare il rischio che il dispositivo, pur continuando ad avviarsi regolarmente, si trovi in uno stato di sicurezza degradato, incapace di ricevere future mitigazioni per vulnerabilità del boot -2-9.

Distribuzione settoriale e implicazioni per le piattaforme cloud

Osservando la distribuzione statistica delle cinquantanove vulnerabilità rettificate, emerge come la categoria dell’elevazione di privilegi – con venticinque occorrenze – costituisca da sola quasi la metà del totale, seguita a distanza dalle dodici falle di esecuzione di codice remoto e dai sette casi di spoofing -6-8. Particolarmente rilevante, per chi gestisce infrastrutture ibride, è la presenza di due vulnerabilità critiche sui servizi Azure: CVE-2026-21531, relativa all’SDK di Azure, e CVE-2026-24300, che impatta Azure Front Door, entrambe valutate con punteggio CVSS 9.8 e potenzialmente in grado di esporre dati sensibili o compromettere l’integrità delle reti di distribuzione dei contenuti -7-10. Microsoft ha inoltre corretto una falla di spoofing su Exchange Server (CVE-2026-21527) e numerose debolezze in componenti di sviluppo come GitHub Copilot e Visual Studio, a testimonianza di come la superficie d’attacco si sia ormai estesa ben oltre il perimetro del solo sistema operativo per abbracciare l’intera galassia degli strumenti di produttività e sviluppo -7-8.

L’urgenza di applicare le patch, per le organizzazioni, è dettata non solo dalla conferma dello sfruttamento attivo ma anche dall’inserimento, da parte della Cybersecurity and Infrastructure Security Agency, di tutte e sei le zero-day nel catalogo delle vulnerabilità note e sfruttate, un segnale inequivocabile per le agenzie federali e, di riflesso, per l’intero tessuto imprenditoriale -10.