Il Patch Tuesday del 9 giugno è in arrivo, mentre si avvicina la scadenza del Secure Boot

Mancano pochi giorni al Patch Tuesday del 9 giugno di Microsoft, che ha un peso maggiore di qualsiasi aggiornamento mensile di routine. Si tratta dell'ultima finestra di distribuzione strutturata prima che i certificati Secure Boot dell'era 2011 inizino a scadere il 24 giugno, lasciando qualsiasi dispositivo senza patch in uno stato di sicurezza di avvio degradato a partire da quella data.

La finestra di scadenza dei certificati va dal 24 al 27 giugno. Il certificato Microsoft Corporation KEK CA 2011 scade il 24 giugno, il Microsoft UEFI CA 2011 scade il 27 giugno e il Microsoft Windows Production PCA 2011 segue in ottobre. I dispositivi che non hanno ricevuto i certificati sostitutivi 2023 prima del 24 giugno non smetteranno di funzionare, ma perderanno la capacità di ricevere le future protezioni di sicurezza a livello di avvio, tra cui gli aggiornamenti di Windows Boot Manager, Secure Boot revocation lists e le correzioni per le vulnerabilità della catena di avvio appena scoperte.

Perché il 9 giugno non è un aggiornamento di routine

Microsoft ha distribuito i certificati sostitutivi 2023 dal febbraio 2026 attraverso aggiornamenti cumulativi, con il Patch Tuesday del 12 maggio Patch Tuesday del 12 maggio ha anticipato ulteriormente il rollout. Le organizzazioni che hanno ritardato la distribuzione di maggio si trovano ora ad affrontare una finestra compressa. L'intervallo tra il 9 giugno e la data di scadenza del 24 giugno è di 15 giorni. Per i team aziendali che gestiscono grandi flotte di dispositivi, non si tratta di un periodo confortevole.

Gli analisti della sicurezza hanno chiaramente segnalato la pressione. La decisione di rinviare la distribuzione di maggio a giugno ha ridotto la finestra disponibile di oltre il 60%. Qualsiasi organizzazione che ritenga che il 9 giugno ripristini una normale tempistica di distribuzione è sbagliata. Il 9 giugno è un triage d'emergenza per i team che hanno perso maggio.

Cosa fare prima del 9 giugno e subito dopo

Prima del 9 giugno, gli amministratori IT devono eseguire il seguente comando PowerShell con privilegi di amministratore per verificare lo stato del certificato su qualsiasi dispositivo in questione: Get-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetControlSecureBootServicing" -Name UEFICA2023Status

Il risultato atteso per una migrazione guidata dal sistema operativo è "Completato" In particolare, lo stato "NotStarted" non è un fallimento automatico; spesso indica che il dispositivo è già sicuro perché l'OEM ha iniettato i certificati 2023 in modo nativo tramite un recente aggiornamento del BIOS. Le vere bandiere rosse da ricercare sono uno stato di "Failed" o i codici esadecimali popolati nella chiave adiacente UEFICA2023Error. Tutto ciò che raggiunge questi stati di fallimento dopo la distribuzione del 9 giugno richiede una correzione manuale immediata.

I dispositivi che eseguono Windows Server 2025 con determinate configurazioni dei Criteri di gruppo BitLocker richiedono maggiore cautela. Il bug dell'avvio al recupero di BitLocker ha avuto origine nel ciclo di aggiornamenti di aprile 2026. L'aggiornamento di maggio lo ha risolto per Windows 11, ma la correzione per Windows Server 2025 rimane in sospeso e il comportamento è volatile in alcune configurazioni. Gli ambienti Server 2025 dovrebbero completare una distribuzione di prova prima di diffondere gli aggiornamenti del 9 giugno in tutta la flotta.

Il 9 giugno dovrebbe anche risolvere le vulnerabilità scoperte dopo il rilascio del 12 maggio, comprese quelle che sono state sfruttate attivamente nelle settimane tra i cicli. La Falla Netlogon CVE-2026-41089segnalata come attivamente sfruttata dal Centre for Cybersecurity Belgium il 29 maggio, è già stata patchata con l'aggiornamento di maggio. I dispositivi che non hanno applicato la correzione devono considerare il 9 giugno come un'implementazione a doppia priorità.

La scadenza di ottobre è prossima

Completare la transizione del certificato Transizione del certificato Secure Boot prima del 24 giugno chiude la finestra più urgente, ma non è la fine del processo. Il certificato Microsoft Windows Production PCA 2011, che firma il bootloader di Windows stesso, scade nell'ottobre 2026. Questa è la scadenza strutturalmente più significativa delle tre e quella che comporta il maggior rischio di integrità di avvio a lungo termine per i dispositivi che non la rispettano.

Il rilascio del Patch Tuesday del 9 giugno è previsto per le ore 10:00 AM PST.