Il Patch Tuesday di giugno supera quota 500 CVE

Non avevate altri programmi per il mese di giugno, vero? Martedì Microsoft ha rilasciato 209 patch che interessano 24 famiglie di prodotti. Trentotto delle vulnerabilità corrette sono considerate da Microsoft di gravità Critica e, tra queste, si prevede che 16 verranno sfruttate entro i prossimi 30 giorni. Un'ulteriore CVE, collegata alle divulgazioni delle ultime settimane relative a Chaotic Eclipse (nota anche come Nightmare Eclipse), risulta già sfruttata. Quarantadue vulnerabilità presentano un punteggio CVSS Base pari o superiore a 8,0. Quattro erano state divulgate pubblicamente alla data di rilascio e solo una è stata riconosciuta come attivamente sfruttata in ambiente reale. I numeri riportati in quest'ultima frase risultano in parte fuorvianti alla luce della vicenda Chaotic Eclipse, di cui parleremo più approfonditamente nel seguito dell'articolo.

Se il numero di patch vi sembra scoraggiante, provate a considerare il numero degli advisory: ben 388. Come sempre, la maggior parte riguarda Edge, con vulnerabilità assegnate da Chrome e corrette diversi giorni prima del Patch Tuesday. Ventitré advisory, relativi ad Adobe Reader e ColdFusion, sono stati pubblicati da Adobe. Altri due riguardano Windows ma sono stati emessi da CNA diversi da Microsoft (nello specifico CERT/CC e Arm Limited). Come di consueto, tutti gli advisory sono riportati nell'Appendice D.

Diverse delle vulnerabilità di questo mese possono essere rilevate direttamente dalle protezioni Sophos e, come di consueto, riportiamo le relative informazioni nella tabella seguente. Queste protezioni comprendono anche diverse misure dedicate alle vulnerabilità Chaotic Eclipse ancora in evoluzione. Poiché la situazione è particolarmente dinamica al momento della stesura di questo articolo, segnaliamo che l'elenco riportato nella sezione "Sophos Protections" potrebbe non includere tutte le protezioni che stiamo distribuendo ai clienti.

Come sempre, alla fine di questo articolo sono presenti diverse appendici che elencano tutte le patch Microsoft ordinate per gravità (Appendice A), per probabilità di sfruttamento e punteggio CVSS Base (Appendice B) e per famiglia di prodotto (Appendice C). L'Appendice D contiene l'elenco degli advisory pubblicati questo mese. L'Appendice E fornisce una panoramica dettagliata di 114 CVE che interessano diverse versioni di Windows Server, compreso un advisory di CERT/CC che non è altrimenti conteggiato nel totale delle patch del mese. La nostra analisi delle informazioni CWE (Common Weakness Enumeration) rese disponibili per le patch di questo mese è riportata nell'Appendice F.

Leggi tutto l’articolo: https://www.sophos.com/en-us/blog/june-2026-patch-tuesday