Calendario Microsoft
Questa settimana nella sicurezza: Patch Tuesday da record, il brutto periodo di PHP, la vulnerabilità più antica, eserciti di AI e altro ancora: Microsoft ha chiuso più di 1.400 vulnerabilità in una sola volta. Il record precedente era arrivato a settembre. Le circa 1.000 vulnerabilità di settembre, raggiungendo circa dieci volte la normale media mensile, avevano stabilito il record precedente e, secondo Tenable, Microsoft ha superato le 4.000 CVE a due mesi dalla fine dell’anno.
Solo una delle vulnerabilità è già sfruttata ed è CVE-2026-96951, una vulnerabilità di bypass della funzionalità di sicurezza di Windows Shell che colpisce Windows 10, 11 e alcune versioni Server.
Parole su Windows
CVE-2026-108398 era già stato reso pubblico. Almeno 78 vulnerabilità risultano “critiche” e la maggior parte consente l’esecuzione remota di codice senza interazione dell’utente. La maggior parte consente l’esecuzione remota di codice. Microsoft ha esteso silenziosamente gli aggiornamenti gratuiti per Windows 10 fino a ottobre 2027. L’azienda lo collega agli LLM.
Spiegazioni TLS
Secondo l’analisi di Fortra, quest’anno solo 26 vulnerabilità Microsoft sono entrate nel catalogo CISA KEV e agli amministratori viene consigliato questo catalogo per la definizione delle priorità.
D’altra parte, è emerso che le chiavi private di otto certificati intermedi dell’autorità di certificazione indiana eMudhra (emSign) — sei TLS e due per la firma del codice — sono state compromesse. I certificati erano collegati a emSign ECC Root CA – G3, ritenuta affidabile da Chrome, Apple e Mozilla. Un ricercatore di nome “Wayne” ha dimostrato la situazione firmando messaggi con le chiavi. Secondo quanto condiviso da Flüpke su Mastodon, il valore segreto della chiave “EM OV TLS CA – G3C” era solo 4; anche le altre sono state craccate in breve tempo:
La lista condivisa da Flüpke su Mastodon, che mostra i valori segreti delle chiavi, conteneva le sei voci seguenti, nello stesso ordine e nel loro formato originale.
La cronologia delle chiavi
La lista era composta da sei valori. – 56 – 230 – 237 – 115 – 155 – 156 – 66
È stato riferito che le chiavi potevano essere ricavate da certificati pubblici fin dal momento della loro creazione, nell’aprile 2025. Il blocco è arrivato rapidamente. Secondo The Hacker News, Chrome ha pubblicato il blocco entro due ore, mentre Mozilla, in meno di tre ore, ha bloccato i certificati, rimosso la radice da NSS e rilasciato un aggiornamento di Firefox (CVE-2026-113470).