Microsoft ha rilasciato il 2026-08-11 la correzione per CVE-2026-65775, una vulnerabilità Use-After-Free nel driver win32kfull di Windows scoperta da Kentaro Kawane di GMO Cybersecurity by Ierae durante la competizione Pwn2Own. Il difetto consente escalation di privilegi locali fino a SYSTEM con un punteggio CVSS 3.1 di 8.8, e Microsoft ha classificato l'exploitability come "More Likely" nonostante l'assenza di exploit pubblico documentato al momento della disclosure coordinata.
- Vulnerabilità Use-After-Free nel driver
win32kfulldi Microsoft Windows, causata dalla mancata validazione dell'esistenza di un oggetto prima delle operazioni sull'oggetto. - Escalation di privilegi locali fino a SYSTEM: l'attaccante deve già disporre della capacità di eseguire codice con privilegi limitati sul sistema target.
- CVSS 3.1 base 8.8 (High) con vettoriale completo AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H secondo Microsoft MSRC; E:U indica exploit non provato ma exploitability giudicata "More Likely".
- Timeline coordinata di 82 giorni: report a Microsoft il 2026-05-21, disclosure pubblica il 2026-08-11 con patch ufficiale disponibile.
Il meccanismo tecnico: UAF nel driver grafico-kernel win32kfull
Il difetto risiede specificamente nel driver win32kfull, componente del sottosistema Win32 che gestisce primitive grafiche e interazione con la sessione utente in modalità kernel. Secondo l'advisory ZDI-26-541, "The specific flaw exists within the win32kfull driver. The issue results from the lack of validating the existence of an object prior to performing operations on the object." La mancata verifica di validità del puntatore permette di operare su un oggetto già deallocato, corrompendo lo stato della memoria heap del kernel.
La vulnerabilità è classificata Use-After-Free: un processo in esecuzione con privilegi utente standard manipola la sequenza di allocazione e deallocazione di oggetti grafici, forzando un riferimento a memoria già liberata. Dal riuso controllato di quel blocco, l'attaccante ottiene scrittura arbitraria in spazio kernel e, conseguentemente, esecuzione di codice nel contesto SYSTEM. La catena è puramente locale: non richiede interazione utente (UI:N) ma presuppone compromissione preliminare del processo utente, tipicamente tramite malware o esecuzione di codice non autorizzata.
Il punteggio di severità e il giudizio Microsoft su exploitability
Microsoft MSRC pubblica per CVE-2026-65775 il vettore CVSS 3.1 completo: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C. Il punteggio base di 8.8 posiziona la vulnerabilità nella fascia High. I parametri di impatto C:H/I:H/A:H indicano esposizione totale di confidenzialità, integrità e disponibilità post-exploitation. Il vettore di attacco è rigorosamente locale (AV:L), con privilegi iniziali bassi (PR:L) e nessuna interazione utente richiesta (UI:N): profilo che rende il difetto particolarmente pericoloso in scenario di compromissione già avvenuta.
"Exploitation More Likely" — Microsoft MSRC, exploitability assessment per CVE-2026-65775
Il flag E:U (Exploit Code: Unproven) indica che Microsoft non disponeva al momento dell'advisory di exploit pubblico documentato. Tuttavia, il vendor giudica la probabilità di sfruttamento "More Likely". Questa valutazione, combinata con l'origine Pwn2Own della scoperta — dove la vulnerabilità è stata dimostrata funzionante in ambiente controllato — segnala che la barriera tecnica per la realizzazione di un exploit funzionante è relativamente contenuta per operatori qualificati.
La catena Pwn2Own-to-patch: 82 giorni di coordinazione
Kentaro Kawane ha segnalato la vulnerabilità a Microsoft il 2026-05-21. La disclosure coordinata è avvenuta il 2026-08-11, a distanza di 82 giorni. Il percorso è coerente con le pratiche standard di divulgazione responsabile gestite dalla Zero Day Initiative di Trend Micro: il ricercatore consegna il proof-of-concept, il vendor sviluppa e testa la correzione, la pubblicazione sincronizzata avviene con il rilascio del fix.
Il contesto Pwn2Own non è meramente aneddotico. La competizione impone vincoli rigidi di exploitability: il difetto deve funzionare contro target aggiornati, in condizioni realistiche, senza interazione dell'utente. Il fatto che CVE-2026-65775 sia stata selezionata e dimostrata in tale arena conferma la riproducibilità pratica della catena di exploit, a differenza di vulnerabilità teoriche o condizioni di race window irrealisticamente strette.
Cosa fare adesso
- Applicare l'aggiornamento di sicurezza rilasciato da Microsoft il 2026-08-11 per CVE-2026-65775: RL:O (Remediation Level: Official Fix) conferma patch autorevole disponibile.
- Verificare lo stato di patching su workstation Windows e server esposti a rischio di esecuzione codice utente: la combinazione AV:L/PR:L/UI:N rende il difetto sfruttabile in scenario di compromissione iniziale con footprint minimo.
- Valutare la priorità di patching in relazione all'exploitability assessment "More Likely" di Microsoft, che sovrascrive la cautela del solo E:U.
- Controllare la presenza di processi o account utente non autorizzati sui sistemi Windows: la vulnerabilità richiede precondizione di esecuzione codice low-privileged, quindi il contenimento dell'accesso iniziale riduce la superficie di sfruttamento.
Il rischio reale per le aziende
La lettura operativa è inequivocabile: CVE-2026-65775 non è un vector di ingresso, ma un amplificatore di compromissione. Un attaccante che abbia già superato il perimetro — tramite phishing, delivery di malware, compromissione di supply chain o account utente debole — può innalzare i privilegi fino al controllo totale del sistema. L'escalation a SYSTEM consente bypass di controlli EDR, installazione di rootkit, persistenza attraverso meccanismi kernel-level ed esfiltrazione senza traccia a livello utente.
La combinazione di CVSS 8.8, exploitability "More Likely" e origine Pwn2Own rende questa vulnerabilità un candidato naturale per inclusione in toolkit di post-exploitation. Le organizzazioni con cicli di patching estesi o eccezioni per sistemi critici devono trattare questa correzione come priorità elevata, non standard.
Domande frequenti
È possibile sfruttare questa vulnerabilità da remoto?
No. Il vettore di attacco è locale (AV:L) secondo il CVSS vettoriale Microsoft. L'attaccante deve già eseguire codice sul sistema target.
Esiste un exploit pubblico disponibile?
Al momento della disclosure coordinata del 2026-08-11, Microsoft assegna E:U (Unproven) al codice di exploit. Non emergono evidenze di sfruttamento in-the-wild nelle fonti verificate.
Quali versioni di Windows sono affette?
Il brief non specifica versioni esatte. Microsoft MSRC elenca CVE-2026-65775 con correzione disponibile; il dettaglio delle build interessate richiede consultazione diretta dell'update guide Microsoft.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-541/
- http://www.zerodayinitiative.com/advisories/published/
- https://www.cve.org/CVERecord?id=CVE-2026-65775
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-65775
- https://www.trendmicro.com/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.