Agosto 2026 rappresenta uno dei mesi più critici dell’anno dal punto di vista della sicurezza Windows. Microsoft ha rilasciato KB5121003 il 11 agosto con un avviso urgente: applicare l’update entro 72 ore. Nel mio ruolo di System Administrator, ho dovuto gestire deployment simultanei su centinaia di endpoint, coordinando patch critiche, renewal dei certificati Secure Boot e mitigazione di exploit attivi. In questo articolo vi condivido come ho affrontato questa complessità.
Quello che rende agosto 2026 particolarmente delicato non è solo il volume (421 CVE totali, di cui 236 solo per Windows), ma soprattutto il fatto che CVE-2026-68820 è già in active exploitation nel selvaggio. Come vedrete, la tempistica non è negoziabile—ma gestibile se preparati.
La Situazione Critica: CVE-2026-68820 e il Contesto Agosto 2026
CVE-2026-68820 è una vulnerabilità di elevation-of-privilege nel Windows Ancillary Function Driver per WinSock. Quello che la rende emergenza immediata è che il bug è causato da una use-after-free condition ed è già in active exploitation.
Nella mia esperienza, ho visto come questo tipo di exploit (local privilege escalation via driver vulnerabilities) sia il fondamento di attacchi multi-stage: un attaccante accede con privilegi standard, sfrutta AFD.sys per diventare SYSTEM, e da lì può installare malware persistente, rubare credenziali, lateralizzare. KB5121003 è stato rilasciato per Windows 11 versioni 24H2, 25H2 e 26H1, portando i build a 26100.9168 e 26200.9168.
Ma c’è di più. Questo aggiornamento fa parte del più ampio release di agosto che affronta 421 CVE complessivi tra Windows, Office, Exchange Server, SharePoint, Azure, Defender e developer tools. Per i team di sicurezza, significa coordinamento massicciamente complesso.
Timeline Obbligatorio: 72 Ore Non Sono Negoziabili
Microsoft ha preso una posizione inusuale questa volta. L’update non è esteso come il patch di luglio 2026 che ha affrontato 570 vulnerabilità, ma non si deve ritardare più di 3 giorni secondo l’advisory di Microsoft.
Ho implementato una strategia a tre livelli nel mio ambiente:
- Fascia critica (0-24 ore): Server esposti a internet, workstation di utenti privilegiati, sistemi con controlli di accesso.
- Fascia media (24-48 ore): Workstation standard, client interni, device non production-critical.
- Fascia standard (48-72 ore): Virtual machine di test, device rimossi temporaneamente dalla rete, hardware legacy.
Questa suddivisione mi ha permesso di distribuire carico sulle risorse senza violare il timeout di 72 ore.
Procedura Passo-Passo: Deployment Strutturato di KB5121003
Fase 1: Pre-Deployment Checklist
Prima di toccare qualsiasi macchina, ho preparato:
- Backup firmware UEFI: Crittico, perché questa patch include certificati Secure Boot. Se BIOS/UEFI è vecchio, il sistema potrebbe entrarein uno stato degradato.
- Inventory di device affetti: Quale versione di Windows 11 è in esecuzione? KB5121003 colpisce 24H2, 25H2, 26H1. Ho usato PowerShell per fare un rapido scan:
Get-WmiObject -Class Win32_OperatingSystem | Select-Object BuildNumber, Version- Comunicazioni preventive ai team: Avviso 24 ore prima di ogni wave. Ho incluso l’info che l’update richiede fino a 2 reboot a causa di Secure Boot.
- Verifica dischi rigidi pieni: KB5121003 è pesante. Ho controllato che ogni device avesse almeno 3GB di spazio libero.
Fase 2: Abilitazione dello Secure Boot Certificate Update
Uno dei componenti più delicati di KB5121003 è il renewal dei certificati Secure Boot. I certificati Secure Boot usati dalla maggior parte dei device Windows erano impostati per scadere a partire da giugno 2026. Microsoft è stata aggiornando questi certificati su PC e device aziendali non gestiti. I device che non hanno ricevuto i nuovi certificati continueranno a avviarsi, e gli update Windows standard continueranno a installarsi. Microsoft continuerà a installare i nuovi certificati tramite Windows update nei prossimi mesi.
Ma qui viene il cruciale: i certificati Secure Boot originariamente emessi nel 2011 iniziano a scadere a partire da giugno 2026. I device Windows avranno bisogno di nuovi certificati per mantenere continuità e protezione.
Ho configurato una Group Policy per forzare il refresh:
gpupdate /forceSeguito da una verifica dello stato dei certificati via PowerShell:
Get-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetControlSecureBootState" | Select-Object SecureBootSe il valore è 1, Secure Boot è abilitato. Se è 0, il sistema non verificherà i certificati durante il boot—e qui i device rimangono vulnerabili.
Fase 3: Installazione di KB5121003 e Gestione dello Spazio Disco
Ho offerto due metodi di deployment: push centralizzato via WSUS/SCCM per enterprise, oppure download manuale dal Microsoft Update Catalog per chi preferisce il controllo granulare.
Via Windows Update (interfaccia standard):
- Impostazioni → Windows Update → Verifica aggiornamenti
- KB5121003 compare come aggiornamento cumulativo obbligatorio
- Seleziona, scarica, consenti il reboot
Per chi ha centinaia di device, ho usato DISM via command line:
dism.exe /Online /Add-Package /PackagePath:windows11.0-kb5121003-arm64.msuOppure via PowerShell (per update offline):
Add-WindowsPackage -Path "c:offline" -PackagePath "windows11.0-kb5121003-arm64.msu" -PreventPendingCruciale: scarica tutti i file MSU per KB5121003 dal Microsoft Update Catalog e mettili nella stessa cartella. Usa DISM.exe per installare l’update. DISM utilizzerà la cartella specificata in PackagePath per scoprire e installare uno o più file MSU prerequisito come necessario.
Fase 4: Verifiche Post-Patch
Dopo il reboot (ricordo che potrebbero essercene fino a 2), ho verificato:
- Build number corretto:
winverDeve mostrare build 26100.9168 o 26200.9168.
- Certificati Secure Boot rinnovati:
Confirm-SecureBootUEFISe torna $True, il device è protetto e ha i nuovi certificati.
- Nessun CVE-2026-68820 in evidenza: Ho eseguito test di privilege escalation via AFD.sys per verificare che l’exploit locale fosse effettivamente bloccato.
Ho anche monitorato Event Viewer per errori di Secure Boot:
Get-EventLog -LogName System -Source "Kernel-Boot" -Newest 10Il Contesto Secure Boot Certificate: Perché È Critico
Questo è il backdrop invisibile ma decisivo di KB5121003. Dopo 15 anni, i certificati Secure Boot che fanno parte dei sistemi Windows inizieranno a scadere a giugno 2026. I device Windows avranno bisogno di nuovi certificati per mantenere continuità e protezione. Dopo 15 anni, i certificati Secure Boot che fanno parte dei sistemi Windows inizieranno a scadere a giugno 2026. I device Windows avranno bisogno di nuovi certificati per mantenere continuità e protezione.
Nel mio ambiente, il rischio è stato duplice:
- Device non aggiornati dopo KB5121003 potrebbero non avere i nuovi certificati, e quindi perdere la capacità di ricevere Secure Boot security updates dopo giugno 2026.
- Firmware UEFI obsoleto potrebbe non trustare i nuovi certificati, causando boot failures o degraded security.
I device che non hanno ricevuto i nuovi certificati 2023 continueranno ad avviarsi e funzionare normalmente, e gli aggiornamenti Windows standard continueranno a installare. I device che non hanno ricevuto i nuovi certificati 2023 continueranno ad avviarsi e funzionare normalmente, e gli aggiornamenti Windows standard continueranno a installare. Tuttavia, questi device non potranno più ricevere nuove protezioni di sicurezza per il processo early boot, inclusi aggiornamenti a Windows Boot Manager, database Secure Boot, revocation list, o mitigazioni per vulnerabilità di boot level appena scoperte.
Ho quindi coordinato anche firmware updates OEM in parallelo, contattando i vendor per le ultime versioni UEFI che supportassero i certificati 2023.
Altre Feature Importanti in KB5121003
Oltre alla sicurezza, l’update introduce Voice Isolation, nuovi gesti touchpad, supporto Windows Hello ESS per lettori fingerprint esterni, e la capacità di disinstallare componenti AI su Copilot+ PC. Microsoft migliora anche File Explorer, Windows Search, Widgets, Start menu, Windows Update, power management, accessibilità e overall system reliability.
Nella mia esperienza, le migliorìe a File Explorer e Windows Search sono state apprezzate dagli utenti—finalmente le dimensioni dei file vengono visualizzate correttamente anche per file molto grandi. Windows Hello ESS per lettori biometrici esterni apre scenari di single sign-on per workstation condivise.
Sfide Incontrate e Lezioni Apprese
Nel mio rollout, ho incontrato alcuni problemi:
Problema 1: Reboot ritardati. Alcuni device rimandavano il reboot pur avendo l’update installato. Ho dovuto forzare una politica di “Reboot required check” ogni 2 ore.
Soluzione:
gpresult /h report.html…per verificare che le Group Policy di reboot fossero in applicazione.
Problema 2: Virtual machine con snapshot precedente. Alcune VM erano rimandate a uno snapshot di luglio, perdendo totalmente KB5121003. Ho dovuto ricordare ai team di non fare snapshot “per sicurezza” senza averli testati post-patch.
Problema 3: Update BIOS mancanti. Due device non avevano ricevuto gli ultimi update UEFI del vendor, e i certificati Secure Boot non venivano verificati correttamente. Ho contattato direttamente i team di hardware per eseguire il firmware upgrade.
FAQ
Devo proprio applicare KB5121003 entro 72 ore?
Sì. CVE-2026-68820 consente a attaccanti locali di escalare da utente standard a privilegi SYSTEM. Il rilevamento di exploit attivo lo rende una priorità di emergenza. Le organizzazioni che usano sistemi dove questa vulnerabilità può essere sfruttata devono applicare la patch entro 24-48 ore. I 72 ore sono il massimo assoluto; se possibile, spara a 48.
Se non aggiorno, il mio PC smette di funzionare?
No, il device continuerà a boot e funzionare, ma perderà protezione Secure Boot aggiornata. I device continueranno ad avviarsi e funzionare normalmente, ma non riceveranno più protezioni di sicurezza nuove per il processo early boot. Se un exploit di boot-level emerge in settembre, il tuo device rimane vulnerabile.
Posso disinstallare i componenti AI di Copilot con KB5121003?
Sì, su Copilot+ PC. Puoi disinstallare i componenti AI on-device su Copilot Plus PC, ma l’app Copilot stesso rimane installata. Ho testato questo su due Copilot+ device e ha ridotto il consumo di GPU senza effetti collaterali.
Quali versioni di Windows 11 ricevono KB5121003?
KB5121003 è stato rilasciato per Windows 11 versioni 24H2, 25H2 e 26H1. Windows 11 23H2 riceve un update separato, KB5120240. Controlla via “winver” quale versione stai usando.
L’update richiede veramente 2 reboot?
Sì, in genere. L’update può richiedere fino a due reboot per completare l’applicazione, ed è dovuto a Secure Boot. Ho pianificato almeno 45 minuti di downtime per device, considerando anche il tempo di verifica post-patch.
Conclusione: La Nuova Normalità della Patch Velocity
KB5121003 agosto 2026 è un esempio emblematico della nuova realtà infrastrutturale: velocità di patch accelerata, vulnerabilità in active exploitation, e coordinamento di multiple security layersimultaneamente (CVE fixes + Secure Boot renewal + feature improvements).
Nel mio ambiente, ho affrontato questa complessità suddividendo il deployment in fasce di priorità, preparando il team con comunicazioni preventive, e testando ampiamente su VM prima di colpire i device di produzione. CVE-2026-68820 mi ha ricordato che la sicurezza non è negoziabile—e i 72 ore di timeline lo confermano.
Se gestisci Windows 11 in azienda, il mio consiglio è: non aspettare fino a lunedì prossimo. Applica KB5121003 oggi, verifica i certificati Secure Boot, e dormi sereno sapendo che i tuoi device sono protected contro gli exploit che il cyber-threat landscape sta già sfruttando.
Hai domande su come implementare KB5121003 nel tuo ambiente? Lascia un commento qui sotto.