Patch Tuesday agosto 2026: trio RCE controller di dominio AD

Patch Tuesday agosto 2026 Active Directory controller di dominio RCE: il cluster da conoscere

Il Patch Tuesday agosto 2026 Active Directory controller di dominio RCE cluster è la voce che dovrebbe fermare di colpo gli amministratori Active Directory: Microsoft ha rilasciato il suo Patch Tuesday di agosto 2026 l'11 agosto 2026, correggendo circa 400 CVE sull'intera linea di prodotti (BleepingComputer ha contato 400 falle e tre zero-day in questa release) — tra cui tre distinte vulnerabilità di esecuzione di codice remoto, una per ciascuno di Windows DNS Server, Active Directory Certificate Services (AD CS) e Active Directory Domain Services (AD DS) — i tre ruoli che, insieme, definiscono cosa fa un controller di dominio. Tutte e tre sono state pubblicate da Microsoft l'11 agosto 2026.

Questo articolo si attiene rigorosamente a quanto pubblicato dagli avvisi ufficiali di Microsoft e dalle testate di sicurezza citate, al momento della stesura. Quando il dettaglio pubblico è davvero scarso — ed è il caso di una di queste tre falle — questa lacuna viene segnalata esplicitamente invece di essere colmata.

Per la cronologia delle patch critiche legate ai controller di dominio, vedi Zerologon (CVE-2020-1472): perché l'applicazione manca ancora su tanti DC e Certighost (CVE-2026-54121) ADCS: utenti con pochi privilegi possono impersonare un controller di dominio — la falla AD CS di luglio 2026 a cui si aggiunge la RCE AD CS di questo mese nella lista "correggi subito la CA".

CVE-2026-62878 — RCE di Windows DNS Server (CVSS 9.8, autopropagante)

CVE-2026-62878 è la più severa delle tre. Si tratta di un buffer overflow basato su stack (CWE-121) in Windows DNS Server che consente a un attaccante remoto non autenticato di eseguire codice sulla rete senza alcuna interazione dell'utente, inviando un pacchetto appositamente costruito a un servizio DNS interessato — punteggio base CVSS 3.1 di 9,8 (windowsforum.com, cvefeed.io). La Zero Day Initiative e diverse testate che coprono questa release descrivono la falla come autopropagante ("wormable"), il che significa che un singolo server DNS sfruttato potrebbe essere usato per compromettere automaticamente altri server senza ulteriore interazione dell'attaccante (Zero Day Initiative's August 2026 Security Update Review; SecurityAffairs).

⚠️

⚠️ Attenzione: Microsoft valuta lo sfruttamento come "meno probabile" e afferma che la falla non risulta né sfruttata attivamente né divulgata pubblicamente alla data della release dell'11 agosto 2026 (windowsforum.com, SecurityAffairs). Si tratta di una fotografia del momento, non di una garanzia — le falle autopropaganti, non autenticate, con CVSS 9,8 sono esattamente il profilo che storicamente passa allo sfruttamento attivo non appena compare un PoC pubblico.

CVE-2026-62878 non è stata l'unica RCE di DNS Server in questo ciclo. L'analisi del Patch Tuesday di agosto 2026 di CrowdStrike ha contato quattro RCE critiche di Windows DNS Server in totale in questa release — CVE-2026-62878 (9,8), CVE-2026-62817 (8,8), CVE-2026-62820 (8,1) e CVE-2026-65789 (8,1) — tutte raggiungibili inviando pacchetti appositamente costruiti a un server DNS interessato, senza interazione dell'utente richiesta. Ogni DC che esegue il ruolo DNS Server necessita di tutte e quattro le correzioni, non solo del CVE più mediatico.

CVE-2026-62818 — RCE di Windows AD CS (CVSS 8.8, use-after-free)

CVE-2026-62818 è una falla critica di esecuzione di codice remoto in Active Directory Certificate Services: un use-after-free (CWE-416) che un attaccante remoto autenticato con pochi privilegi può innescare sulla rete, senza interazione dell'utente e con bassa complessità di attacco — punteggio base CVSS 3.1 di 8,8 (windowsforum.com). A differenza della falla DNS, questa richiede che l'attaccante possieda già un account con pochi privilegi e accesso di rete alla CA — ma AD CS è spesso la radice di fiducia del dominio per l'autenticazione basata su certificati, le smart card, l'accesso VPN, il TLS interno e l'identità dei dispositivi, quindi un bug di esecuzione di codice remoto in questo punto merita una priorità ben superiore a una semplice indicazione di "correggi il server" (CrowdStrike).

Questa è la seconda falla di classe RCE che colpisce infrastrutture adiacenti al controller di dominio in altrettanti cicli di patch — vedi l'articolo su Certighost su CVE-2026-54121 di luglio 2026, un meccanismo diverso (impersonazione tramite fallback di iscrizione anziché use-after-free) sulla stessa infrastruttura di CA. Se la tua CA aziendale non ha ancora recuperato la patch di luglio, il CVE-2026-62818 di agosto si aggiunge alla stessa lista di attività — per la superficie di attacco più ampia dei template dei certificati oltre a entrambi i CVE, vedi Attacchi ai template dei certificati ADCS: come ESC1-ESC8 portano a Domain Admin.

CVE-2026-49179 — RCE di Windows AD DS (quella ancora priva di dettagli pubblici)

CVE-2026-49179 è una vulnerabilità di esecuzione di codice remoto in Windows Active Directory Domain Services, pubblicata anch'essa l'11 agosto 2026 alle 7:00 ora del Pacifico (windowsforum.com). Ecco cosa non è ancora pubblico: l'avviso di Microsoft non stabilisce il percorso di attacco, le versioni interessate di Windows Server, il requisito di autenticazione né un punteggio base CVSS. Microsoft non ha dichiarato se la falla sia pre-autenticazione, raggiungibile da internet, sfruttata attivamente, o capace di una compromissione completa della foresta (windowsforum.com).

ℹ️

ℹ️ Nota: si tratta di una vera lacuna informativa, non di una svista di questo articolo. Considera CVE-2026-49179 come una patch obbligatoria solo in base alla priorità del componente — AD DS è il ruolo centrale del controller di dominio — e consulta direttamente il Security Update Guide di MSRC per le tue build server specifiche prima di finalizzare un piano di distribuzione delle patch, poiché il dettaglio degli avvisi viene talvolta completato dopo la pubblicazione iniziale.

Rilevamento: cosa monitorare adesso

Nessuno dei tre CVE dispone di un proof-of-concept pubblico né di uno sfruttamento attivo confermato al momento della stesura, quindi la leva di "rilevamento" più preziosa oggi è la visibilità sulla conformità delle patch, non la caccia agli IOC. La tabella seguente aggiunge gli indicatori generali che diventerebbero rilevanti se iniziassero tentativi di sfruttamento.

Indicatore	Segnale	Fonte	Perché è importante qui
Crash/riavvii di DNS Server	Voci di crash del servizio e processi figli inattesi generati da `dns.exe`	Log eventi di Windows (Applicazione/Sistema); regola di rilevamento Elastic "Unusual Child Process of dns.exe"	Un buffer overflow basato su stack come CVE-2026-62878 è probabile che faccia crashare il servizio prima che un exploit riesca — crash o riavvii ripetuti su un DC con ruolo DNS, o dns.exe che genera un processo figlio inatteso, giustificano entrambi un'indagine
Anomalie nell'emissione dei certificati	ID evento 4886 (richiesta ricevuta), 4887 (emesso), 4888 (negato)	Microsoft Learn: Audit Certification Services	CVE-2026-62818 richiede di interagire con il percorso di richiesta/emissione della CA; questi eventi vengono registrati solo se l'audit di Certificate Services è attivo sulla CA
Conformità patch/build	Stato di conformità degli aggiornamenti WSUS, Intune o SCCM rispetto all'aggiornamento cumulativo di agosto 2026 per la build OS esatta di ciascun DC	Strumenti di gestione patch del fornitore	Non essendo documentato pubblicamente il percorso di attacco di CVE-2026-49179, il segnale più affidabile disponibile oggi è sapere esattamente quali DC mancano ancora dell'aggiornamento — tutto ciò che non risulta conforme va trattato come esposto

💡

💡 Suggerimento: attiva l'audit di Certificate Services (auditpol /get /subcategory:"Certification Services") prima di affidarti alla telemetria 4886/4887 — non è attivo per impostazione predefinita in tutte le implementazioni AD CS.

# Inventariare quali server hanno ciascun ruolo critico di DC prima di applicare le patch
Get-ADDomainController -Filter * | Select-Object Name, OperatingSystem, IPv4Address
Get-WindowsFeature -Name DNS, ADCS-Cert-Authority | Where-Object Installed

Correzione: priorità delle patch per gli ambienti AD

Correggi per primi i DC con il ruolo DNS Server. CVE-2026-62878 non è autenticata, è raggiungibile dalla rete, autopropagante e valutata CVSS 9,8 — il profilo di rischio più alto delle tre. Includi le altre tre RCE di DNS Server di questo ciclo (CVE-2026-62817, CVE-2026-62820, CVE-2026-65789) nello stesso aggiornamento.
Correggi poi le autorità di certificazione AD CS. CVE-2026-62818 richiede un attaccante autenticato con pochi privilegi, il che riduce leggermente l'urgenza rispetto alla falla DNS, ma qualsiasi CA è una radice di fiducia a livello di dominio — trattala come una correzione a breve termine, non da rimandare alla "prossima finestra di manutenzione". Per l'hardening della CA oltre alla patch di questo mese, vedi Mapping debole dei certificati in AD CS: perché il binding forte conta.
Correggi tutti i restanti controller di dominio per AD DS. Anche senza dettagli pubblici sul percorso di attacco, CVE-2026-49179 riguarda il ruolo centrale del DC. Non aspettare ulteriori dettagli per correggere; il componente da solo giustifica l'azione.
Fai l'inventario prima di applicare le patch. Molti ambienti piccoli e medi ospitano insieme i ruoli DNS Server, CA AD CS e AD DS sulla stessa macchina — un DC potrebbe richiedere tutte e tre le correzioni in un'unica finestra di manutenzione. Lo snippet PowerShell sopra è un punto di partenza per questo inventario.
Se non puoi correggere subito i DC con ruolo DNS, limita l'esposizione in ingresso del servizio DNS ai soli segmenti di rete affidabili come misura provvisoria. Questo riduce l'esposizione; non sostituisce la patch.
Convalida dopo la patch. Verifica che la risoluzione DNS, l'iscrizione/auto-iscrizione dei certificati e la replica AD DS continuino a funzionare normalmente dopo l'aggiornamento, prima di chiudere la finestra di manutenzione.

🚨 Pericolo: tre RCE che colpiscono la superficie dei ruoli del DC in un'unica release non è una coincidenza da liquidare con una scrollata di spalle — DNS, AD CS e AD DS gestiscono insieme la risoluzione dei nomi, l'autenticazione basata su certificati e la directory stessa. Un solo DC non corretto esposto su uno qualsiasi di questi tre servizi è un punto di ingresso praticabile.

Come EtcSec rileva l'esposizione correlata

Nessuno di questi tre CVE è di per sé una configurazione errata che il catalogo di audit EtcSec può segnalare — sono condizioni di patch mancante, ed EtcSec verifica l'esposizione di configurazione e privilegi, non l'inventario degli hotfix. Ciò che il catalogo mette in evidenza è quanto danno potrebbe causare in seguito una compromissione del DC attraverso uno di questi percorsi: i permessi con capacità DCSync identificano quali account potrebbero estrarre i segreti della directory se un attaccante sfrutta una di queste RCE per raggiungere un controller di dominio, e ADCS Weak Permissions segnala lacune di hardening a livello di CA indipendenti dalla patch di questo mese — entrambi riducono il raggio d'impatto anche se nessuno dei due rileva direttamente CVE-2026-62878, CVE-2026-62818 o CVE-2026-49179.

ℹ️

ℹ️ Nota: EtcSec verifica automaticamente i permessi con capacità DCSync e le configurazioni errate ADCS ad ogni audit AD. Esegui un audit gratuito per verificare l'esposizione più ampia del tuo ambiente mentre confermi lo stato delle patch per tutti e tre i CVE di agosto 2026.

Patch Tuesday agosto 2026 Active Directory controller di dominio RCE: 3 falle da non rimandare