Anche per il mese di agosto 2025, Microsoft ha rilasciato il Patch Tuesday per correggere 111 vulnerabilità nei suoi sistemi operativi Windows e in altri software.

Tra queste, anche una zero day che è stata divulgata pubblicamente anche se, al momento, non sono stati forniti ulteriori dettagli tecnici sulle modalità di attacco.

Ricordiamo che, secondo la classificazione Microsoft, una vulnerabilità è di tipo zero-day quando è stata divulgata pubblicamente o sfruttata attivamente prima del rilascio di una correzione ufficiale.

Al momento, non risulta alcuno sfruttamento attivo per nessuna delle vulnerabilità corrette in occasione degli aggiornamenti mensili pubblicati da Microsoft. Ben 13 vulnerabilità, però, hanno ottenuto il rating più grave assegnato da Microsoft, ovvero “critico”: significa che potrebbero essere sfruttate per assumere il controllo dei PC Windows vulnerabili con un intervento minimo o nullo da parte degli utenti.

Nel complesso, le vulnerabilità sono così classificate:

• 44 sono di tipo EoP (Elevation of Privilege);
• 35 sono di tipo RCE (Remote Code Execution);
• 18 di tipo ID (Information Disclosure);
• 4 di tipo Denial of Service;
• 9 di tipo spoofing.

Tutti i dettagli sul pacchetto cumulativo di aggiornamenti sono disponibili sulla pagina ufficiale Microsoft.

I dettagli della vulnerabilità zero-day

Il Patch Tuesday di questo mese, lo dicevamo in apertura, risolve una falla zero-day identificata in Windows Kerberos e divulgata pubblicamente.

Tracciata come CVE-2025-53779 e con punteggio CVSS di 7,2, la vulnerabilità è di tipo EoP (Elevation of Privilege) e consente a un utente autenticato di ottenere i privilegi di amministratore di dominio.

Per poterla sfruttare, un aggressore dovrebbe avere un accesso elevato ai seguenti attributi dMSA:

• msds-groupMSAMembership, che consente all’utente di utilizzare il dMSA;
• msds-ManagedAccountPrecededByLink: l’attaccante deve avere accesso in scrittura a questo attributo consentendogli di specificare un utente per il quale il dMSA può agire per suo conto.

La stessa Microsoft ha attribuito la scoperta di questa vulnerabilità zero-day al ricercatore Yuval Gordon di Akamai, che ha pubblicato una relazione tecnica sulla falla già a maggio.

In particolare, il problema di sicurezza è stato descritto pubblicamente nel maggio 2025 dall’azienda di infrastrutture web e sicurezza che lo ha ribattezzato con il nome in codice BadSuccessor. La nuova tecnica consente essenzialmente a un attore minaccioso con privilegi sufficienti di compromettere un dominio Active Directory (AD) utilizzando in modo improprio gli oggetti delegated Managed Service Account (dMSA).

Installiamo gli aggiornamenti Microsoft

L’analisi delle vulnerabilità evidenzia l’importanza di mantenere sempre aggiornati i propri sistemi e i software installati su di essi, soprattutto in un panorama tecnologico in rapida evoluzione dove le minacce alla sicurezza informatica sono sempre in agguato.

Windows è già configurato per controllare periodicamente la disponibilità di aggiornamenti critici e importanti, per cui non c’è bisogno di effettuare manualmente il controllo. Quando un aggiornamento è disponibile, viene scaricato e installato automaticamente, mantenendo il dispositivo aggiornato con le funzionalità e i miglioramenti di sicurezza più recenti.

Per verificare subito la disponibilità degli aggiornamenti Microsoft, in Windows 10 è sufficiente cliccare sul pulsante Start, quindi, spostarsi nella sezione Impostazioni/Aggiornamento e sicurezza/Windows Update e selezionare Controlla aggiornamenti.

Ricordiamo che Windows 10 completerà il suo ciclo di vita il prossimo 14 ottobre 2025: dopo questa data, Microsoft interromperà il rilascio gratuito di aggiornamenti software, assistenza tecnica e correzioni di sicurezza. Ma la stessa Microsoft ha comunicato che sarà ancora possibile ricevere gli update di sicurezza di Windows 10 per un altro anno.

In Windows 11, invece, è sufficiente cliccare sul pulsante Start, selezionare Impostazioni/Windows Update, cliccare su Verifica disponibilità aggiornamenti e procedere, in caso, con l’installazione delle patch.

In tutte le versioni recenti di Windows è comunque opportuno abilitare il servizio Windows Update dal Pannello di controllo e configurarlo affinché scarichi e installi automaticamente gli aggiornamenti rilasciati da Microsoft sia per il sistema operativo sia per le singole applicazioni.

Il consiglio è quello di eseguire un backup del sistema o quantomeno dei propri file e cartelle più importanti prima di applicare uno qualsiasi degli aggiornamenti presenti nel pacchetto cumulativo appena rilasciato.