Il CISA dà agli amministratori di Windows tempo fino al 3 giugno per applicare le patch alle falle di Nightmare Eclipse Defender

Le agenzie federali hanno tempo fino al 3 giugno per applicare le correzioni per due vulnerabilità di Microsoft Defender sfruttate attivamente e legate alla campagna di divulgazione Nightmare Eclipse. Con questa scadenza a 48 ore di distanza, altre tre vulnerabilità zero di Windows dello stesso ricercatore rimangono senza patch, e il 9 giugno è la prossima opportunità per Microsoft di risolverle.

La saga è cominciata all'inizio di aprile, quando Nightmare Eclipse ha rivelato BlueHammer (CVE-2026-33825), patchato nel Patch Tuesday del 14 aprile e la cui scadenza CISA è passata all'inizio di maggio. L'attuale conto alla rovescia è ancorato da un'azione CISA separata il 20 maggio, che aggiunge RedSun (CVE-2026-41091) e UnDefend (CVE-2026-45498) al catalogo delle Vulnerabilità Conosciute Sfruttate, dopo che Huntress ha confermato lo sfruttamento attivo in attacchi reali. IL CISA ha imposto la riparazione ai sensi della Direttiva Operativa Vincolante 22-01 con una finestra di 14 giorni.

Cosa fanno le falle patchate

RedSun prende di mira il motore di tiering Defender per aumentare i privilegi a SYSTEM. UnDefend innesca una condizione di denial-of-service nella Piattaforma Antimalware, bloccando completamente Defender e creando una finestra per l'implementazione di ransomware o per il movimento laterale senza attivare gli avvisi.

Entrambi i problemi sono stati risolti in Malware Protection Engine 1.1.26040.8 e Antimalware Platform 4.18.26040.7. Verifichi questi numeri di versione nelle impostazioni di Windows Security prima del 3 giugno.

Tre falle senza patch

YellowKey (CVE-2026-45585) aggira BitLocker sui sistemi solo TPM tramite il Windows Recovery Environment, consentendo l'accesso fisico per sbloccare le unità crittografate senza una chiave di recupero. GreenPlasma è una falla di escalation dei privilegi CTFMON senza CVE e senza patch. MiniPlasma sfrutta nuovamente CVE-2020-17103 in cldflt.sys, una falla del 2020 la cui patch era incompleta o silenziosamente regredita.

ThreatLocker e Will Dormann hanno confermato che produce ancora una shell SYSTEM su Windows 11 e Windows Server 2022 e 2025 completamente patchati. Windows 10 non è interessato, il che è importante per i team che gestiscono flotte miste.

Per YellowKey, esegua reagentc /disable, monti l'hive del Registro di sistema WinRE offline, rimuova autofstx.exe da BootExecute sotto ControlSet001ControlSession Manager, quindi esegua reagentc /enable per eseguire la modifica. Trasformi BitLocker da solo TPM a TPM+PIN, ove possibile.

Incubo Eclipse ha segnalato un rilascio il 14 luglio, in occasione del Patch Tuesday di quel mese.