# Windows ha una falla del 2020 che non è mai stata corretta: chiunque può diventare SYSTEM

URL: https://menteinformatica.it/software-app/windows-miniplasma-zero-day-exploit-system/
Autore: Giorgio Perillo
Aggiornato: 2026-05-19
Categoria: Software e App

---

**Un ricercatore ha pubblicato questa settimana un exploit funzionante chiamato MiniPlasma** che dà privilegi **SYSTEM** su Windows completamente aggiornato, incluso Windows 11 con le patch di maggio 2026. La cosa più inquietante?

La falla esiste dal **2020**.

## Cos’è MiniPlasma e perché è un problema serio

Il ricercatore noto come **Chaotic Eclipse** ha rilasciato su GitHub sia il codice sorgente che un eseguibile compilato per MiniPlasma, un exploit di **privilege escalation** su Windows. In pratica: parti da un account utente normale e arrivi a SYSTEM, il livello di accesso più alto possibile sul sistema operativo.

BleepingComputer ha testato l’exploit su un sistema **Windows 11 Pro** con tutte le patch di maggio 2026 installate, e funziona. Anche **Will Dormann**, analista di vulnerabilità presso Tharros, ha confermato che l’exploit è operativo sull’ultima versione pubblica di Windows 11.

L’unica eccezione è la build Insider Preview Canary, dove il problema non si riproduce.

⚠️ **Attenzione:** il PoC (proof-of-concept) è pubblico su GitHub, codice e compilato. Questo significa che non serve essere un ricercatore esperto per usarlo: chiunque può scaricarlo e provarlo adesso.

## Una vulnerabilità del 2020 che Microsoft non ha mai davvero risolto

Il problema sta nel driver **cldflt.sys** (Cloud Filter driver) e nella sua routine **HsmOsBlockPlaceholderAccess**. La vulnerabilità era stata [documentata da BleepingComputer](https://www.bleepingcomputer.com/news/microsoft/new-windows-miniplasma-zero-day-exploit-gives-system-access-poc-released/) con il codice **CVE-2020-17103**, segnalata originariamente dal ricercatore di Google Project Zero **James Forshaw** nel settembre 2020, e dichiarata corretta da Microsoft nel Patch Tuesday di dicembre 2020.

Dichiarata corretta. Ma non lo è.

Chaotic Eclipse afferma che il PoC originale di Forshaw funziona ancora oggi senza modifiche. Non è chiaro se Microsoft non abbia mai realmente applicato la patch o se il fix sia stato silenziosamente rimosso a un certo punto.

📌 **Da sapere:** l’exploit abusa del modo in cui il Cloud Filter driver gestisce la creazione di chiavi di registro tramite un’API non documentata chiamata CfAbortHydration, permettendo di creare chiavi arbitrarie nell’hive .DEFAULT senza i controlli di accesso corretti.

Se lavori in ambito IT o usi Windows in azienda, vale la pena monitorare le chiavi di registro **RegistryUserSoftwarePoliciesMicrosoftCloudFilesBlockedApps*** e **RegistryUser.DEFAULTVolatile Environment*** per rilevare eventuali tentativi di sfruttamento, come suggerito dalla piattaforma ThreatLocker.

## MiniPlasma non è un caso isolato: è una serie

💡 **L’analisi:** Chaotic Eclipse sta pubblicando exploit su exploit su Windows, e almeno tre precedenti (BlueHammer, RedSun, UnDefend) sono già stati sfruttati in attacchi reali prima che Microsoft intervenisse. Con MiniPlasma basato su un bug del 2020, il problema non è solo la velocità delle patch: è la solidità del processo di verifica delle correzioni.

MiniPlasma arriva dopo una serie di divulgazioni dello stesso ricercatore nelle ultime settimane. Prima c’era stato **BlueHammer**, una vulnerabilità di privilege escalation su Windows già sfruttata in attacchi reali e tracciata come CVE-2026-33825.

Poi **RedSun**, un’altra escalation patchata silenziosamente da Microsoft senza CVE. E ancora **UnDefend**, uno strumento per mettere fuori uso Windows Defender.

Questo mese sono arrivati anche **YellowKey**, un bypass di BitLocker su Windows 11 e Windows Server 2022/2025, e **GreenPlasma**.

La cosa che trovo più preoccupante non è MiniPlasma in sé: è il pattern. Un ricercatore riesce a testare se le patch di Microsoft reggono davvero, e la risposta è spesso no.

RedSun è stato fixato in silenzio senza nemmeno assegnare un identificatore CVE. Con gli aggiornamenti di Windows che a volte [rompono funzionalità critiche](https://menteinformatica.it/software-app/windows-aggiornamento-aprile-backup-rotto/) e patch di sicurezza che a quanto pare non vengono verificate a fondo nel lungo periodo, mi chiedo quanto altro codice del 2020 stia ancora aspettando di essere scoperto.

⚠️ **Disponibilità Italia:** MiniPlasma colpisce Windows 11 Pro anche in Italia su sistemi completamente aggiornati. Non esiste ancora una patch ufficiale Microsoft. Aggiorniamo non appena arriva una risposta ufficiale o un fix.

Stay tech 🦾