Microsoft corregge 421 vulnerabilità: sfruttato uno zero-day in `afd.sys`

Patch Tuesday di agosto: una falla kernel già sotto attacco

Microsoft ha pubblicato l’11 agosto 2026 gli aggiornamenti di sicurezza per 421 vulnerabilità. Tra queste c’è CVE-2026-68820, una falla high severity sfruttata attivamente come zero-day.

Il problema riguarda il driver kernel Ancillary Function Driver for WinSock, identificato dal file afd.sys, componente utilizzato dalle Windows Sockets API. La vulnerabilità è un use-after-free associato a una race condition.

Per sfruttarla, l’attaccante deve autenticarsi localmente e avviare un’applicazione appositamente preparata. Non è necessaria alcuna interazione da parte dell’utente. L’attacco può però consentire l’elevazione dei privilegi fino a SYSTEM, il livello di autorizzazione più elevato in Windows.

Microsoft ha rilevato attività condotte da attori capaci di ottenere questi privilegi, ma non ha pubblicato dettagli sulle modalità operative, sui bersagli o sugli strumenti utilizzati.

L’attenzione su afd.sys è aumentata anche per precedenti analoghi. Dal 2022 risultano altri tre zero-day sfruttati nello stesso driver: CVE-2025-32709, CVE-2025-21418 e CVE-2024-38193. Quest’ultima vulnerabilità è stata associata a operatori nordcoreani collegati al gruppo Lazarus. Secondo Tenable, la ricorrenza di attacchi contro questo componente rende plausibile l’interesse di gruppi nation-state.

Le altre vulnerabilità da trattare con urgenza

La seconda priorità è CVE-2026-62832, nel servizio Windows User Profile Service. La falla consente un attacco di tipo link following prima dell’accesso ai file.

Un utente autenticato con le credenziali di un altro account locale può caricare l’hive di registro della vittima, leggere o modificare i suoi dati e arrivare a ottenere privilegi amministrativi. La vulnerabilità è stata divulgata pubblicamente e Microsoft considera probabile uno sfruttamento, anche se non è indicata come già sfruttata in-the-wild.

È stata divulgata pubblicamente anche CVE-2026-72971, nel driver Windows Container Isolation FS Filter Driver (unionfs.sys). Può consentire una manipolazione locale tramite link following, ma Microsoft valuta bassa la probabilità di sfruttamento reale.

Tra le vulnerabilità con possibile esecuzione remota di codice figurano:

• CVE-2026-62878, in Windows DNS Server;
• CVE-2026-62893, in Windows Deployment Services TFTP Server;
• CVE-2026-62815, in Microsoft QUIC;
• CVE-2026-59124, in Microsoft HPC Pack.

Il pacchetto comprende inoltre CVE-2026-62911, una falla di elevazione locale dei privilegi in Exchange Server, e due vulnerabilità nella reference implementation TPM 2.0:

• CVE-2026-6726, classificata come spoofing;
• CVE-2026-6727, relativa alla divulgazione di informazioni.

Prodotti coinvolti e distribuzione degli aggiornamenti

Gli aggiornamenti interessano numerosi prodotti Microsoft:

• 236 vulnerabilità in Windows;
• 98 in Office;
• 98 in Office 2016;
• 30 in SharePoint Server;
• 26 in Developer Tools;
• 17 in Azure;
• 7 in Exchange Server;
• 1 in Defender;
• 6 in altri prodotti.

Nel conteggio sono comprese anche le due CVE relative alla reference implementation TPM 2.0, che non appartengono direttamente a un prodotto Microsoft.

Le versioni esatte interessate e quelle corrette non sono state rese note. Per questo, l’applicabilità delle patch deve essere verificata attraverso i normali strumenti di gestione degli aggiornamenti Microsoft e l’inventario aziendale.

Cosa devono fare amministratori e aziende

Gli aggiornamenti di sicurezza di agosto 2026 vanno applicati con priorità, iniziando da CVE-2026-68820 e dalle vulnerabilità già divulgate pubblicamente.

La precedenza operativa dovrebbe riguardare anche i sistemi che eseguono o espongono:

• Windows DNS Server;
• Windows Deployment Services TFTP Server;
• Microsoft QUIC;
• Microsoft HPC Pack;
• Exchange Server;
• Windows Container Isolation.

Il primo controllo consiste nell’accertare l’installazione delle patch sui sistemi Windows e sui server interessati. È inoltre opportuno cercare segnali di esecuzione locale anomala, tentativi di elevazione verso SYSTEM, caricamenti inattesi di hive di registro e attività sospette nei servizi di rete.

Non sono stati indicati workaround specifici né ulteriori mitigazioni tecniche. In assenza di correzioni alternative, la distribuzione degli aggiornamenti resta la misura principale per ridurre il rischio.