Vulnerabilità TPM in AMD Ryzen 3000–9000 e EPYC: tutto quello che c'è da sapere su CVE-2026-6726 e CVE-2026-6727

Il 11–13 agosto 2026, AMD ha divulgato due vulnerabilità TPM 2.0 ad alta severità come parte del bollettino AMD-SB-7064, coinvolgendo processori Ryzen 3000–9000, Threadripper, EPYC e le serie embedded. Entrambe le falle hanno origine nel codice di riferimento TCG TPM 2.0 e sono state segnalate da ricercatori di Intel. Le correzioni firmware (aggiornamenti di Platform Initialization) sono disponibili da maggio–giugno 2026, e i principali produttori di schede madri (ASUS, MSI, Gigabyte, ASRock) hanno già rilasciato BIOS aggiornati .

CVE-2026-6726 — Lettura fuori dai limiti / riutilizzo improprio degli slot oggetto

• Tipo: Vulnerabilità di lettura fuori dai limiti (out-of-bounds read) nell'implementazione TPM 2.0 di riferimento .
• Punteggi CVSS: 8.5 (CVSS v4.0, Alto) — Vettore: CVSS:4.0/AV:L/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N ; 7.9 (CVSS v3.1, Alto) — Vettore: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:N .
• Condizioni di accesso: Attaccante locale con privilegi elevati (PR:H) che può inviare comandi dannosi al TPM da applicazioni in spazio utente .
• Impatto: Perdita di informazioni che consente a un attaccante di ottenere credenziali da una Certificate Authority (CA) compatibile TPM per una chiave TPM falsificata (ad esempio, Attestation Key, DevID Key, chiave di autenticazione TLS). Ciò può portare alla falsificazione di chiavi di cifratura TPM e di altri meccanismi di attestazione basati su TPM .

CVE-2026-6727 — Attacco a canale laterale temporale nella decifratura RSA OAEP

• Tipo: Attacco a canale laterale temporale (timing side-channel) nell'implementazione della decifratura RSA OAEP .
• Punteggi CVSS: 8.3 (CVSS v4.0, Alto) secondo alcune fonti ; 5.9 (CVSS v3.1, Medio) da CISA-ADP — Vettore: CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N ; 5.9 (CVSS v3.1, Importante) nella lista del Patch Tuesday di Microsoft .
• Condizioni di accesso: Attaccante locale con privilegi, con accesso all'interfaccia dei comandi TPM. L'attacco è complesso a causa dell'"Alta" complessità dell'attacco (AC:H) e richiede accesso fisico o locale al sistema .
• Impatto: Le differenze temporali possono essere sfruttate per recuperare informazioni che consentono la decifratura di ciphertext cifrati con chiavi RSA gestite dal TPM, inclusa la RSA Endorsement Key (EK), blob di importazione, blob di credenziali e salt di sessione. In determinate condizioni, ciò può anche abilitare la falsificazione di attestazioni TPM 2.0 .

Prodotti coinvolti

Le vulnerabilità colpiscono una gamma eccezionalmente ampia di processori AMD:

• Desktop: Serie Ryzen 3000, 4000, 5000, 7000, 8000 e 9000
• Mobile: Serie Ryzen AI 300/400, Ryzen AI Max 300, Ryzen 3000–5000 Mobile
• Workstation: Serie Ryzen Threadripper PRO (5000WX, 7000WX) e Threadripper
• Server: Serie EPYC 4004 e 4005
• Embedded: Varie famiglie Ryzen Embedded ed EPYC Embedded
• Altri: Serie Ryzen Z1/Z2 (processori per console portatili da gioco)

Cronologia delle patch

• Maggio–giugno 2026: AMD ha iniziato a distribuire ai partner OEM e produttori di schede madri le correzioni firmware Platform Initialization (PI). Ad esempio, l'aggiornamento ComboAM5PI 1.2.0.3k (che copre EPYC 4004 e le serie Ryzen 7000/9000) è stato rilasciato il 31 maggio 2026 .
• Entro il 17 giugno 2026: I record NVD mostrano elenchi di prodotti coinvolti aggiornati con le versioni dei pacchetti PI e le date di rilascio .
• 11–13 agosto 2026: AMD ha divulgato pubblicamente entrambe le vulnerabilità tramite AMD-SB-7064; ASUS, MSI, Gigabyte e ASRock avevano già pubblicato gli aggiornamenti BIOS .

Contesto più ampio del Patch Tuesday di agosto

Entrambe le CVE sono state ripubblicate da MITRE e sono apparse nel Patch Tuesday di agosto 2026 di Microsoft (11 agosto 2026) con il tag "Windows TPM", classificate con severità Importante . Tuttavia, Microsoft non ha rilasciato un aggiornamento di sicurezza lato Windows o un articolo KB per nessuna delle due CVE: solo l'aggiornamento del firmware TPM sottostante (BIOS/UEFI) da parte del produttore hardware risolve la falla . Il batch del Patch Tuesday di agosto 2026 ha affrontato in totale 421 CVE, e queste vulnerabilità TPM sono state messe in evidenza a causa dell'ampia gamma di prodotti AMD coinvolti e dell'origine della divulgazione (ricercatori Intel che hanno segnalato bug TPM che colpiscono sistemi AMD) .

Cosa dovrebbero fare gli utenti

Entrambe le vulnerabilità richiedono un accesso locale con privilegi, il che significa che il rischio per gli utenti domestici è basso, ma i clienti enterprise dovrebbero dare priorità agli aggiornamenti BIOS sui sistemi condivisi o multi-utente. Per mitigare il rischio:

1. Controlla il sito web del produttore della tua scheda madre (ASUS, MSI, Gigabyte, ASRock, ecc.) per un aggiornamento BIOS che faccia riferimento ad AMD-SB-7064 o ComboAM5PI 1.2.0.3k o successivo.
2. Applica l'aggiornamento BIOS seguendo le istruzioni del produttore.
3. Verifica che l'aggiornamento includa le correzioni Platform Initialization (PI) datate maggio–giugno 2026 o successive.