In questo articolo Indice dei contenuti 3 sezioni
Si chiama Download More RAM ed è la tecnica con cui due gruppi di ricercatori delle Università di Birmingham e Durham hanno dimostrato che le difese più blindate di Windows 11 possono essere aggirate senza nemmeno aprire il case del computer. Il lavoro è stato presentato al 35esimo USENIX Security Symposium, dal 12 al 14 agosto 2026, e colpisce un presupposto che Microsoft dà per assodato da anni: che certe aree di memoria restino inaccessibili anche a chi ha già i privilegi di amministratore. Il nome, ironico, richiama la vecchia burla del “scarica altra RAM da Internet”, perché il trucco consiste esattamente nel convincere il sistema che i moduli installati siano più capienti di quanto sono davvero.
Da circa dieci anni Microsoft sposta pezzi importanti della sicurezza fuori dal kernel tradizionale. Virtualization Based Security, Hypervisor Enforced Code Integrity, Credential Guard e i livelli di trust virtuali servono proprio a costruire muri che dovrebbero reggere anche contro un processo con privilegi elevati. Download More RAM scavalca quei muri passando da sotto, cioè dall’hardware.
Il ruolo dell’SPD e i moduli che non si proteggono
Ogni modulo DIMM porta con sé una piccola scheda tecnica scritta in una EEPROM, il Serial Presence Detect. Dentro ci sono tipo di memoria, capacità, organizzazione interna, frequenze, tensioni: tutto ciò che serve alla piattaforma per inizializzare correttamente la RAM. Quei dati indicano anche come indirizzare fisicamente la memoria, quindi chi riesce a riscriverli cambia il modo in cui il sistema la gestisce.
I ricercatori hanno esaminato 11 moduli UDIMM DDR4 e DDR5 pensati per il mercato consumer. Su alcuni prodotti Corsair, G.Skill e ADATA la protezione in scrittura dell’SPD risultava completamente disattivata. Su altri, firmati Crucial, Kingston, HyperX e alcune linee G.Skill, la protezione era parziale ma comunque sufficiente a bloccare l’attacco. Gli stessi autori invitano alla prudenza: il campione è piccolo e non autorizza a bollare intere gamme commerciali come vulnerabili.
Sui moduli senza protezione l’EEPROM è stata modificata via software, attraverso lo SMBus e il sottosistema I2C, aumentando il numero di bit dichiarati per l’indirizzamento delle righe DRAM. Risultato: un banco fisico da 8 GB si presenta come se ne avesse 16. Quando il controller cerca di raggiungere il blocco inesistente, l’indirizzo in eccesso non trova corrispondenza reale e finisce per puntare a celle già usate. Nasce così un memory alias, cioè due indirizzi diversi che conducono alla stessa DRAM. Le protezioni applicate al primo non seguono automaticamente il secondo, semplicemente perché il sistema operativo ignora che siano la stessa cosa.
Perché è diverso da BadRAM
Studi precedenti, BadRAM in testa, avevano già mostrato che falsificare la geometria di un modulo poteva generare alias e compromettere il Trusted Execution Environment. Il problema era pratico: bisognava estrarre fisicamente i banchi, modificarli e rimetterli al loro posto, o addirittura inserire un dispositivo tra memoria e scheda madre. Download More RAM cancella quel passaggio e fa tutto dal sistema operativo.
Resta però una condizione pesante: serve già l’accesso amministrativo locale, ottenuto con malware, credenziali rubate, una falla precedente oppure un amministratore infedele. Nessuno può colpire un PC da Internet in questo modo. Il salto sta nel fatto che privilegi normalmente inutili contro VBS e Secure Kernel diventano una rampa di lancio verso zone che Windows dovrebbe tenere fuori portata.
La patch di aprile e cosa può fare chi usa il PC
Microsoft è stata avvisata mesi fa, ha assegnato al problema l’identificativo CVE-2026-23670 e ha rilasciato un aggiornamento il 14 aprile 2026. I ricercatori non conoscono i dettagli interni della correzione, ma hanno notato che sui sistemi con Secure Boot attivo il parametro removememory usato nel proof of concept viene semplicemente ignorato, impedendo di stabilizzare la macchina dopo la creazione degli alias. La catena pubblicata quindi non funziona più lì, mentre resta valida sulle macchine senza Secure Boot. Il problema hardware però rimane: se qualcuno trovasse un altro modo per avviare Windows in modo stabile con gli alias attivi, la tecnica tornerebbe sfruttabile.
La difesa più vicina alla radice è impedire scritture software sui blocchi SPD sensibili, come previsto dalle indicazioni JEDEC. Corsair ha aggiunto a iCUE una funzione per attivare retroattivamente la protezione sui moduli compatibili, HWiNFO ne ha introdotta una simile per altri modelli e diverse schede madri offrono un’opzione UEFI che vieta le scritture SPD via SMBus.
Per chi usa un PC normale, la mossa concreta resta installare gli aggiornamenti e controllare che Secure Boot sia davvero operativo. Basta premere Windows+R, digitare msinfo32 e verificare che lo stato avvio protetto risulti abilitato, oppure aprire il Terminale come amministratore con Windows+X e lanciare Confirm-SecureBootUEFI: la risposta True conferma tutto. In azienda conviene inserire questa verifica nell’inventario delle configurazioni, soprattutto sui desktop assemblati con RAM aftermarket.
