Il primo Patch Tuesday del 2025 di Microsoft, rilasciato il 14 gennaio, ha introdotto un aggiornamento record con 159 correzioni di sicurezza, affrontando vulnerabilità in Windows, Microsoft Office, Edge e altri servizi. Questo aggiornamento è il più grande degli ultimi anni, con più del doppio del numero abituale di patch.
Punti chiave del Patch Tuesday di gennaio 2025
- 159 vulnerabilità corrette, di cui 8 critiche.
- 3 vulnerabilità di Windows già attivamente sfruttate.
- 5 vulnerabilità erano pubblicamente note prima del rilascio della patch.
- Aggiornamenti significativi per Windows, Office e Microsoft Edge.
- Prossimo Patch Tuesday previsto per l’11 febbraio 2025.
Vulnerabilità di sicurezza di Windows corrette
Windows rappresentava 132 delle vulnerabilità corrette, interessando le versioni supportate come Windows 10, Windows 11 e Windows Server.
Sebbene Windows 7 e 8.1 non siano più inclusi negli aggiornamenti di sicurezza di Microsoft, potrebbero rimanere vulnerabili a minacce simili. Gli utenti di versioni precedenti di Windows sono fortemente incoraggiati ad aggiornare a Windows 10 o 11 per garantire una protezione continua.
Vulnerabilità di Windows attivamente sfruttate
Microsoft ha confermato che tre vulnerabilità in Windows Hyper-V erano attivamente sfruttate prima dell’aggiornamento:
- CVE-2025-21333, CVE-2025-21334 e CVE-2025-21335
- Consentono agli aggressori con accesso a una macchina virtuale guest di eseguire codice dannoso sul sistema host.
- Potenzialmente potrebbero compromettere interi ambienti virtualizzati.
Vulnerabilità critiche di Windows
Microsoft ha classificato 8 vulnerabilità di Windows come critiche, tra cui:
- CVE-2025-21298 (Windows OLE – CVSS 9.8)
- Gli hacker possono sfruttare questa vulnerabilità tramite una e-mail appositamente creata e aperta in Outlook.
- Il riquadro di anteprima non è un vettore di attacco, ma l’apertura di un’anteprima di allegato potrebbe consentire iniezione ed esecuzione di codice.
- CVE-2025-21297 & CVE-2025-21309 (Remote Desktop Gateway – CVSS 8.1)
- Queste vulnerabilità consentono agli aggressori di compromettere Windows Remote Desktop Gateway senza necessità di credenziali di accesso.
- Gli hacker devono attivare una race condition per sfruttare una vulnerabilità use-after-free.
Vulnerabilità corrette in Microsoft Office
Microsoft ha corretto 20 vulnerabilità nelle applicazioni Office, tra cui falle di esecuzione di codice remoto (RCE) in:
- Word, Excel, Outlook, OneNote, Visio e SharePoint Server
- Tre vulnerabilità zero-day in Access
Vulnerabilità corrette in Microsoft Edge
L’ultimo aggiornamento di sicurezza per Microsoft Edge è la versione 131.0.2903.146 (rilasciata il 10 gennaio 2025). Questo aggiornamento è basato su Chromium 131.0.6778.265.
>>>01AC366 per IBM Storwize V5000 V5010 V5030 Gen2
Conclusione
Con 159 vulnerabilità corrette, questo è uno degli aggiornamenti di sicurezza più completi degli ultimi anni. Gli utenti e le aziende dovrebbero installare questi aggiornamenti il prima possibile, in particolare quelli relativi a Windows Hyper-V, Remote Desktop Services e Microsoft Office.
