AMD ha pubblicato l'11 agosto 2026 l'advisory AMD-SB-7064, confermando due vulnerabilità TPM 2.0 con CVSS 8.5 e 8.3 che interessano processori Ryzen, Threadripper ed EPYC. I firmware corretti erano già stati distribuiti ai produttori di schede madre a partire dal 18 maggio 2026. La disclosure pubblica arriva con quasi tre mesi di ritardo rispetto alla disponibilità delle patch, generando un paradosso di sicurezza: i sistemi potevano essere aggiornati, ma nessuno sapeva del pericolo da contrastare.
- Le vulnerabilità CVE-2026-6726 e CVE-2026-6727 hanno CVSS 8.5 e 8.3, entrambe classificate High
- Entrambe richiedono accesso locale con privilegi elevati per essere sfruttate
- I firmware corretti erano distribuiti ai vendor già da maggio 2026, prima della disclosure pubblica
- Le falle risiedono nel reference code TPM 2.0 del Trusted Computing Group, non sono esclusive AMD
Il meccanismo tecnico: use-after-free e timing side-channel
La CVE-2026-6726 è un bug di tipo use-after-free nell'implementazione TPM 2.0. Secondo Igor's Lab, "A use-after-free condition can cause information from a previously used TPM object to remain available even though the same memory area is subsequently used for another purpose". Questa condizione interessa la funzione TPM2_Certify, utilizzata per generare attestazioni crittografiche sulla integrità della piattaforma.
La CVE-2026-6727 è invece una vulnerabilità di tipo timing side-channel che colpisce le operazioni di decrittazione RSA-OAEP. Come riporta TechSpot, "AMD describes the second flaw (CVE-2026-6727) as a timing side-channel vulnerability affecting decryption workloads using the RSA cryptosystem". Le differenze nei tempi di elaborazione del padding check aprono la strada a un Manger attack, che può consentire la decrittazione di dati sensibili e la generazione di chiavi di attestazione false.
Entrambe le vulnerabilità compromettono la catena di fiducia che il TPM garantisce per measured boot, accesso condizionale e crittografia del disco. La loro natura nel reference code TCG le rende potenzialmente rilevanti anche per altri implementatori, sebbene il dossier non specifichi quali.
La timeline del silenzio: fix a maggio, disclosure ad agosto
La distribuzione dei firmware corretti è iniziata il 18 maggio 2026 con il rilascio di ComboAM4PI 1.0.0.11 per le piattaforme Ryzen 3000, secondo VideoCardz. Per le piattaforme AM5, ComboAM5PI 1.3.0.1b è stato distribuito il 21 maggio e la versione 1.2.0.3k il 31 maggio.
I principali produttori di schede madre avevano già integrato questi aggiornamenti nei propri BIOS prima che AMD rendesse pubblica l'esistenza delle vulnerabilità. VideoCardz documenta che ASUS aveva già ComboAM5 PI 1.3.0.1b in circolazione a giugno, MSI aveva rilasciato aggiornamenti all'inizio di luglio, ASRock nella seconda metà di luglio, e GIGABYTE a giugno. Come osserva TechSpot: "The fixed TPM code had already been available for months. Meanwhile, AMD has only just released its AMD-SB-7064 bulletin detailing the issue".
Per le piattaforme con AMD Pluton — Ryzen AI 300/400 e Ryzen AI Max 300 — gli aggiornamenti sono invece previsti per agosto 2026, con una finestra di esposizione potenzialmente più lunga.
Il paradosso della supply chain firmware
L'intervallo tra distribuzione silenziosa ai vendor e disclosure pubblica solleva una questione strutturale nella governance della sicurezza dei semiconduttori. I produttori di schede madre hanno diffuso aggiornamenti senza poter comunicare ai propri clienti la natura critica delle modifiche. Gli amministratori IT e gli utenti avanzati, abituati a valutare la priorità di un aggiornamento BIOS sulla base del changelog, non disponevano delle informazioni necessarie per accelerare il deployment.
"AMD itself explicitly classifies the two CVEs as 'non-AMD' because the errors originate in the TPM 2.0 reference code of the Trusted Computing Group" Igor's Lab
La classificazione AMD delle vulnerabilità come "non-AMD" aggiunge un livello di complessità: la responsabilità è nel reference code TCG, ma l'implementazione e la distribuzione del fix ricadono sulla catena di approvvigionamento del vendor. Questo disallineamento tra proprietà del codice, responsabilità della patch e comunicazione al pubblico è emblematico dei rischi della supply chain firmware.
Cosa fare adesso
- Verificare la versione del BIOS/UEFI installato e confrontarla con le versioni firmware citate nell'advisory AMD-SB-7064 per la propria piattaforma
- Consultare il sito del produttore della scheda madre (ASUS, MSI, GIGABYTE, ASRock o altri) per eventuali aggiornamenti successivi all'agosto 2026 che completino la copertura
- Valutare l'impatto su BitLocker e crittografia del disco: l'aggiornamento del firmware TPM può innescare la richiesta della chiave di ripristino; pianificare il processo di recupero prima dell'installazione
- Attendere indicazioni specifiche per piattaforme Pluton (Ryzen AI 300/400, Ryzen AI Max 300) dove gli aggiornamenti sono in corso di distribuzione
Chi ha scoperto il problema e perché conta
Le vulnerabilità sono state segnalate al TCG Vulnerability Response Team da ricercatori di sicurezza di Intel, secondo TechSpot e Morethantech. Questo dettaglio non è marginale: la segnalazione cross-vendor nel settore dei semiconduttori resta l'eccezione piuttosto che la norma, e la sua assenza avrebbe potuto ritardare indefinitamente la correzione.
Il ruolo dei ricercatori Intel evidenzia inoltre la natura condivisa del reference code TCG: una falla nel codice di riferimento non è proprietaria di un solo vendor, ma propagata attraverso l'ecosistema delle implementazioni. Il dossier non specifica se altri vendor (Intel stessa, o altri implementatori TPM) siano stati coinvolti nella stessa segnalazione o se abbiano distribuito fix paralleli.
I limiti del dossier
Non emergono nel brief evidenze di exploit in-the-wild o di sfruttamento effettivo delle vulnerabilità nel periodo pre-disclosure. La fonte non specifica se le chiavi TPM esistenti su sistemi già aggiornati richiedano rigenerazione o se l'aggiornamento firmware sia tecnicamente sufficiente a ripristinare la sicurezza. Non è documentata nemmeno la timeline completa della segnalazione: quando esattamente i ricercatori Intel hanno contattato il TCG, e quanto tempo è trascorso tra questa segnalazione e l'inizio della distribuzione dei firmware corretti.
Il dossier non elenca inoltre tutti i vendor OEM e le schede madre interessate, limitandosi ai quattro principali produttori citati da VideoCardz. Sistemi di vendor minori o integratori custom potrebbero avere una finestra di esposizione diversa.
Domande frequenti
- Le vulnerabilità sono sfruttabili da remoto?
- No. Entrambe richiedono accesso locale con privilegi elevati, secondo l'advisory AMD-SB-7064.
- Posso rimanere vulnerabile anche se ho aggiornato il BIOS a giugno?
- Dipende dalla versione del firmware TPM incluso nell'aggiornamento. Se il BIOS contiene ComboAM4PI 1.0.0.11 o successivo, o ComboAM5PI 1.2.0.3k/1.3.0.1b o successivo, il fix è presente anche senza che la natura della patch fosse dichiarata.
- Le vulnerabilità interessano solo AMD?
- No. Secondo Igor's Lab, AMD classifica esplicitamente le CVE come "non-AMD" perché risiedono nel reference code TPM 2.0 del Trusted Computing Group. Il dossier non specifica se altri implementatori siano affetti.
Il caso AMD-SB-7064 offre una lettura più ampia sulla tensione tra responsible disclosure e supply chain velocity: velocizzare la distribuzione delle patch senza comunicare il rischio non protegge chi ignora di averne bisogno. Per gli ambienti enterprise che basano l'onboarding dei dispositivi sull'attestazione TPM, il ritardo nella disclosure è stato un periodo di esposizione non quantificabile, non per assenza di fix, ma per assenza di consapevolezza.
Fonti
- https://morethantech.it/pubblicazioni/4988_amd-conferma-due-falle-tpm-su-ryzen-firmware-corretto-da-maggio-2026
- https://www.techspot.com/news/113448-amd-tpm-implementation-includes-two-high-severity-flaws.html
- https://www.igorslab.de/en/amd-confirms-two-tpm-2-0-vulnerabilities-ryzen-3000-to-ryzen-ai-require-updated-firmware/
- https://videocardz.com/newz/amd-confirms-ryzen-tpm-vulnerabilities-asus-msi-and-gigabyte-already-have-fixes
- https://morethantech.it/images/publications/4988/d425e37f-d099-4876-8387-19f2a5bab8d1.jpeg
- https://www.guru3d.com/story/amd-publishes-fixes-for-two-highseverity-tpm-vulnerabilities/
- https://www.techspot.com/ethics.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.