Microsoft ha recentemente rilasciato aggiornamenti di sicurezza per correggere 63 vulnerabilità nei suoi prodotti software. Due di queste vulnerabilità sono state attivamente sfruttate. Tra le falle corrette, tre sono classificate come critiche, 57 come importanti, una come moderata e due come di bassa gravità. Inoltre, Microsoft ha risolto 23 vulnerabilità nel browser Edge basato su Chromium.

Vulnerabilità attivamente sfruttate

Le falle attivamente sfruttate includono la CVE-2025-21391, una vulnerabilità di elevazione dei privilegi nel sistema di archiviazione di Windows, e la CVE-2025-21418, una vulnerabilità nel driver di funzione ausiliaria per WinSock. La prima potrebbe consentire a un attaccante di eliminare file mirati su un sistema, ma non di accedere a informazioni riservate. Tuttavia, potrebbe essere combinata con altre vulnerabilità per aumentare i privilegi e facilitare azioni successive che complicano gli sforzi di recupero. La seconda vulnerabilità riguarda un caso di escalation dei privilegi nel file AFD.sys, che potrebbe essere sfruttata per ottenere privilegi di sistema.

Vulnerabilità significativa

Un'altra vulnerabilità significativa è la CVE-2025-21198, con un punteggio CVSS di 9.0, che riguarda un'esecuzione di codice remoto nel pacchetto High Performance Compute (HPC). Un attaccante potrebbe sfruttarla inviando una richiesta HTTPS appositamente modificata al nodo principale o al nodo di calcolo Linux mirato.

Altri aggiornamenti di sicurezza

Oltre a Microsoft, altri fornitori hanno rilasciato aggiornamenti di sicurezza per risolvere diverse vulnerabilità. Tra questi ci sono Adobe, Amazon Web Services, Apple, Cisco e Google, tra gli altri. Questi aggiornamenti sono cruciali per mantenere la sicurezza dei sistemi e prevenire exploit da parte di attori malevoli.

Richieste della CISA

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto le vulnerabilità di Microsoft al suo catalogo di vulnerabilità sfruttate note, richiedendo alle agenzie federali di applicare le patch entro il 4 marzo 2025. L'adozione tempestiva di questi aggiornamenti è essenziale per proteggere le infrastrutture critiche e i dati sensibili da potenziali attacchi informatici.