MiniPlasma sfrutta una falla 0-day di Windows 11 per ottenere privilegi più elevati, con rischi soprattutto su PC condivisi e reti aziendali. Ecco quali segnali osservare, perché gli indicatori non bastano e quali patch e misure pratiche aiutano a proteggersi.
Il 18 maggio 2026 Chaotic Eclipse ha pubblicato MiniPlasma, un exploit che porta un account locale standard di Windows 11 ai privilegi SYSTEM. Le prove condotte sulle build pubbliche aggiornate alle patch di maggio 2026 hanno mostrato una shell con il livello di autorizzazione più alto del sistema operativo. Il codice sfrutta il driver Cloud Filter, cldflt.sys.
Per chi usa un PC condiviso o amministra una rete aziendale, il dato operativo è il requisito iniziale: l’aggressore deve poter eseguire codice sul dispositivo. Una volta ottenuto questo accesso, un account senza privilegi può arrivare a SYSTEM, ampliando in modo netto il controllo del computer.
Cosa fa MiniPlasma e come scala i privilegi
La vulnerabilità è associata a CVE-2020-17103. Il difetto fu segnalato nel 2020 da James Forshaw, ricercatore di Google Project Zero, e Microsoft dichiarò di averlo corretto nel dicembre dello stesso anno. Nel 2026 il proof-of-concept originario è stato descritto come ancora funzionante; MiniPlasma ha reso pubblico un nuovo sfruttamento. Per questo, oltre alla data di una vecchia patch, conta verificare il comportamento delle build installate.
Il bug si trova nella routine HsmOsBlockPlaceholderAccess del driver Cloud Filter. L’exploit usa l’API non documentata CfAbortHydration per manipolare la gestione delle chiavi di registro e crearne di arbitrarie nell’alveo utente .DEFAULT, aggirando i normali controlli di accesso. L’esito osservato è l’elevazione locale a SYSTEM.
Le verifiche del maggio 2026 hanno riguardato Windows 11 Pro aggiornato alle patch di quel mese. Sulle build pubbliche esaminate l’exploit è riuscito partendo da un profilo standard. I test sulle build Insider Preview Canary, invece, sono falliti: un risultato compatibile con una correzione in sperimentazione.
Chi rischia: PC condivisi e reti aziendali
Il rischio riguarda soprattutto i computer su cui un utente non fidato può già accedere a una sessione o avviare programmi, quando la build installata è vulnerabile. Rientrano in questa situazione i PC condivisi, i terminali usati da più persone e i sistemi aziendali nei quali un account compromesso può diventare il punto di partenza dell’attacco. Anche in una rete intranet, l’exploit richiede la possibilità di eseguire codice localmente.
Con i privilegi SYSTEM, un utente può compiere operazioni precluse a un account standard, per esempio intervenire su servizi, file e impostazioni protette. Una compromissione inizialmente limitata può così estendersi al controllo del PC e avere conseguenze per gli altri utenti dello stesso dispositivo. Account condivisi, postazioni lasciate incustodite e accessi remoti con privilegi eccessivi possono facilitare il raggiungimento del requisito locale.
MiniPlasma è stato pubblicato dopo una serie di disclosure dello stesso ricercatore nel 2026, tra cui gli exploit locali BlueHammer e RedSun. La disponibilità del codice rende più semplice riprodurre l’attacco. Un commento degli utenti riferisce inoltre che Microsoft Defender rileva il file distribuito, un elemento che può ostacolare l’esecuzione di quel campione.
Segnali da controllare e limiti degli indicatori
Dopo l’accesso di un utente standard, una shell o un processo avviato con identità SYSTEM è un segnale coerente con un’escalation. Da controllare anche le modifiche inattese a servizi, chiavi di registro e file protetti, soprattutto se seguono l’esecuzione di programmi non autorizzati.
Per una prima valutazione, gli amministratori possono mettere in relazione gli orari di accesso con i processi avviati, le modifiche di sistema e i rilevamenti dell’antivirus, confrontando questi eventi con l’attività abituale del dispositivo. Un avviso di Defender aiuta a individuare il campione conosciuto. Le verifiche vanno svolte senza avviare l’exploit su macchine operative.
Patch e misure pratiche di protezione
Gli amministratori dovrebbero installare gli aggiornamenti cumulativi di Windows appena distribuiti e consultare gli avvisi Microsoft Security Response Center, le schede CVE/NVD e le comunicazioni CISA per gli aggiornamenti e le versioni interessate. La vulnerabilità è stata associata alla CVE-2020-17103, corretta da Microsoft nel dicembre 2020; le prove del 2026 hanno però mostrato l’exploit funzionante su build pubbliche aggiornate alle patch di maggio.
Per gli utenti domestici, le misure di base sono mantenere Windows e Microsoft Defender aggiornati, usare un account standard nelle attività quotidiane e non aprire file ricevuti da fonti non attendibili. Non disattivare l’antivirus per provare un exploit o avviare un programma segnalato. Su un PC condiviso, ogni persona dovrebbe avere credenziali individuali e l’accesso amministrativo dovrebbe essere riservato a chi ne ha bisogno.
In ambito IT, conviene controllare le versioni e le edizioni installate, applicare gli aggiornamenti approvati e ridurre il numero di account locali amministrativi. Le funzioni e i componenti non necessari possono essere disabilitati secondo le policy aziendali. Segmentazione della rete e separazione degli account limitano la propagazione dopo un accesso iniziale; i log di sicurezza e le regole di rilevamento vanno mantenuti attivi. Se viene individuato un processo SYSTEM inatteso, il dispositivo va isolato secondo le procedure aziendali e sottoposto a verifica, conservando gli eventi utili all’indagine.
