Linee guida e date principali per la protezione avanzata di Windows più recenti

Modifiche al protocollo netlogon KB5021130 | Fase 2

Fase di applicazione iniziale. Rimuove la possibilità di disabilitare il sealing RPC impostando il valore 0 sulla sottochiave del Registro di sistema RequireSeal .

KB5014754 di autenticazione basata su certificato | Fase 2

Rimuove la modalità disabilitata.

Protezioni per il bypass di Avvio protetto KB5025885 | Fase 1

Fase di distribuzione iniziale. Windows Aggiornamenti rilasciato il 9 maggio 2023 o successivamente alle vulnerabilità illustrate in CVE-2023-24932, alle modifiche ai componenti di avvio di Windows e a due file di revoca che possono essere applicati manualmente (un criterio di integrità del codice e un elenco di disallow dell'avvio protetto aggiornato).

Modifiche al protocollo netlogon KB5021130 | Fase 3

Applicazione per impostazione predefinita. La sottochiave RequireSeal verrà spostata in modalità di applicazione, a meno che non venga configurata esplicitamente in modalità compatibilità.

KB5020805 firme PAC Kerberos | Fase 3

Terza fase di distribuzione. Rimuove la possibilità di disabilitare l'aggiunta della firma PAC impostando la sottochiave KrbtgtFullPacSignature su un valore pari a 0.

Modifiche al protocollo netlogon KB5021130 | Fase 4

Applicazione definitiva. Gli aggiornamenti di Windows rilasciati l'11 luglio 2023 rimuoveranno la possibilità di impostare il valore 1 sulla sottochiave del Registro di sistema RequireSeal. In questo modo viene abilitata la fase di applicazione di CVE-2022-38023.

KB5020805 firme PAC Kerberos | Fase 4

Modalità di applicazione iniziale. Rimuove la possibilità di impostare il valore 1 per la sottochiave KrbtgtFullPacSignature e passa alla modalità di applicazione come predefinita (KrbtgtFullPacSignature = 3), che è possibile ignorare con un'impostazione di controllo esplicita. 

Protezioni per il bypass di Avvio protetto KB5025885 | Fase 2

Seconda fase di distribuzione. Aggiornamenti per Windows rilasciati dopo l'11 luglio 2023 includono la distribuzione automatizzata dei file di revoca, nuovi eventi del registro eventi per segnalare se la distribuzione di revoca è riuscita e il pacchetto di aggiornamento dinamico SafeOS per WinRE.

KB5020805 firme PAC Kerberos | Fase 5

Fase di applicazione completa. Rimuove il supporto per la sottochiave del Registro di sistema KrbtgtFullPacSignature, rimuove il supporto per la modalità di controllo e tutti i ticket di servizio senza le nuove firme PAC verranno negati l'autenticazione.

Aggiornamenti delle autorizzazioni di Active Directory (AD) KB5008383 | Fase 5

Fase di distribuzione finale. La fase di distribuzione finale può iniziare dopo aver completato i passaggi elencati nella sezione "Intervenire" di KB5008383. Per passare alla modalità di applicazione , seguire le istruzioni nella sezione "Linee guida per la distribuzione" per impostare il 28° e il 29° bit sull'attributo dSHeuristics . Monitora quindi gli eventi 3044-3046. Segnalano quando la modalità di applicazione ha bloccato un'operazione di aggiunta o modifica LDAP che in precedenza era consentita in modalità di controllo . 

Protezioni per il bypass di Avvio protetto KB5025885 | Fase 3

Terza fase di distribuzione. Questa fase aggiungerà altre misure di prevenzione del boot manager. Questa fase inizierà non prima del 9 aprile 2024.

Modifiche alla convalida PAC KB5037754 | Fase della modalità compatibilità

La fase di distribuzione iniziale inizia con gli aggiornamenti rilasciati il 9 aprile 2024. Questo aggiornamento aggiunge un nuovo comportamento che impedisce l'elevazione delle vulnerabilità dei privilegi descritte in CVE-2024-26248 e CVE-2024-29056, ma non lo applica a meno che non vengano aggiornati sia i controller di dominio di Windows che i client Windows nell'ambiente.

Per abilitare il nuovo comportamento e ridurre le vulnerabilità, è necessario verificare che l'intero ambiente Windows (inclusi i controller di dominio e i client) sia aggiornato. Gli eventi di controllo verranno registrati per identificare i dispositivi non aggiornati.

Protezioni per il bypass di Avvio protetto KB5025885 | Fase 3

Fase di applicazione obbligatoria. Le revoche (criteri di avvio dell'integrità del codice ed elenco di disallow dell'avvio protetto) verranno applicate a livello di programmazione dopo l'installazione degli aggiornamenti per Windows in tutti i sistemi interessati senza alcuna opzione da disabilitare.

Modifiche alla convalida PAC KB5037754 | Applicazione per fase predefinita

Aggiornamenti rilasciato a gennaio 2025 o successivamente sposterà tutti i controller di dominio e i client di dominio Windows nell'ambiente alla modalità applicata. Questa modalità applica il comportamento sicuro per impostazione predefinita. Le impostazioni esistenti della chiave del Registro di sistema precedentemente impostate sostituiscono questa modifica del comportamento predefinito.

Le impostazioni predefinite della modalità applicata possono essere sostituite da un amministratore per ripristinare la modalità compatibilità.

KB5014754 di autenticazione basata su certificato | Fase 3

Modalità di applicazione completa. Se non è possibile eseguire il mapping di un certificato, l'autenticazione verrà negata.

Modifiche KB5037754 della convalida PAC | Fase

di applicazione Gli aggiornamenti della sicurezza di Windows rilasciati ad aprile 2025 o successivamente rimuoveranno il supporto per le sottochiavi del Registro di sistema PacSignatureValidationLevel e CrossDomainFilteringLevel e applicherà il nuovo comportamento sicuro. Non sarà disponibile alcun supporto per la modalità compatibilità dopo l'installazione dell'aggiornamento di aprile 2025.

Protezioni di autenticazione Kerberos per KB5057784 CVE-2025-26647 | Modalità

di controllo La fase di distribuzione iniziale inizia con gli aggiornamenti rilasciati l'8 aprile 2025. Questi aggiornamenti aggiungono un nuovo comportamento che rileva la vulnerabilità nell'elevazione dei privilegi descritta in CVE-2025-26647 , ma non la applicano. Per abilitare il nuovo comportamento ed essere protetto dalla vulnerabilità, è necessario verificare che tutti i controller di dominio di Windows vengano aggiornati e che l'impostazione della chiave del Registro di sistema AllowNtAuthPolicyBypass sia impostata su 2.

Protezioni di autenticazione Kerberos per KB5057784 CVE-2025-26647 | Applicato per impostazione predefinita

Aggiornamenti rilasciato a luglio 2025 o successivamente, applicherà il controllo NTAuth Store per impostazione predefinita. L'impostazione della chiave del Registro di sistema AllowNtAuthPolicyBypass consentirà comunque ai clienti di tornare alla modalità di controllo, se necessario. Tuttavia, la possibilità di disabilitare completamente questo aggiornamento della sicurezza verrà rimossa.

Protezioni di autenticazione Kerberos per KB5057784 CVE-2025-26647 | Modalità

di applicazione ​​​​​​​Aggiornamenti rilasciato a partire da ottobre 2025, il supporto Microsoft per la chiave del Registro di sistema AllowNtAuthPolicyBypass verrà interrotto. In questa fase, tutti i certificati devono essere rilasciati da autorità che fanno parte dell'archivio NTAuth.

Protezione da bypass di Avvio protetto KB5025885 | Fase

di applicazione La fase di applicazione non inizierà prima di gennaio 2026 e forniremo almeno sei mesi di preavviso in questo articolo prima dell'inizio di questa fase. Quando vengono rilasciati gli aggiornamenti per la fase di applicazione, includono quanto segue:

• Il certificato "Windows Production PCA 2011" verrà automaticamente revocato tramite l'aggiunta all'elenco DBX (Secure Boot UEFI Forbidden List) nei dispositivi compatibili. Questi aggiornamenti verranno applicati a livello di programmazione dopo l'installazione degli aggiornamenti per Windows in tutti i sistemi interessati senza alcuna opzione da disabilitare.