AMD conferma due falle TPM su Ryzen: firmware corretto da maggio 2026

AMD ha confermato due vulnerabilità ad alta severità nel Trusted Platform Module, con il firmware corretto già in distribuzione presso i produttori di schede madri. Le falle interessano i processori Ryzen dalla serie 3000 alla 9000, alcuni modelli Ryzen mobile, le piattaforme Threadripper, gli EPYC 4004 e 4005 e diverse famiglie embedded.

La prima, tracciata come CVE-2026-6726, è una lettura fuori dai limiti nell’implementazione di riferimento TPM 2.0 e riceve un punteggio CVSS di 8,5. Comandi malevoli inviati al modulo possono aggirarne le funzioni; AMD indica che lo sfruttamento può esporre le credenziali della certification authority e aprire la strada a chiavi TPM o dati di attestazione falsificati.

La seconda, CVE-2026-6727, si ferma a 8,3 e riguarda il comportamento temporale delle operazioni RSA: si tratta di un canale laterale che, sfruttato con successo, espone il sistema a due rischi concreti, dalla fuga di informazioni crittografiche sensibili alla possibilità di attestazioni contraffatte. Per le aziende, per il cloud e per i parchi PC gestiti - ambiti in cui è proprio l’attestazione TPM a certificare l’affidabilità di un sistema - il pericolo resta quindi tutt’altro che teorico. Per sfruttare entrambe le falle, però, serve un accesso locale privilegiato: uno scenario ben lontano da quello di un attacco remoto non autenticato.

A individuare il problema sono stati i ricercatori di sicurezza Intel, che hanno effettuato la segnalazione al Trusted Computing Group e al relativo Vulnerability Response Team. AMD ha iniziato a consegnare il firmware corretto ai produttori di schede madri e di sistemi completi a maggio 2026, con distribuzioni proseguite a giugno e luglio.

Attestazione a livello aziendale, archiviazione dei certificati, measured boot e crittografia dei dispositivi Windows sono le funzioni che passano dal firmware del TPM, ma questo non significa che BitLocker o le chiavi già memorizzate siano compromesse dalla sola esistenza della falla.

Chi vuole sapere se l’aggiornamento è già disponibile dovrebbe partire dalla pagina di supporto del proprio modello - PC preassemblato, notebook o scheda madre che sia - perché tempistiche e canale di distribuzione restano decisi dal produttore del BIOS o dell’UEFI. Chi usa BitLocker farebbe bene ad assicurarsi di avere a portata di mano la chiave di ripristino prima di installare l’aggiornamento: il flash del BIOS, infatti, può azzerare le impostazioni di sicurezza o richiedere proprio quei dati.

All’appello mancano ancora alcune famiglie: le serie Ryzen AI 300, Ryzen AI 400 desktop e notebook e Ryzen AI Max 300 ricevono gli aggiornamenti del secure processor Pluton nel corso di agosto. AMD ha reso pubbliche le due vulnerabilità il 12 agosto 2026, quando le correzioni erano già in circolazione.

Fonti: TechPowerUp, Guru3D, AMD