La RAM di molti PC da gaming può essere ingannata a mentire sulla propria dimensione - e Windows le crede

Ogni modulo di RAM del PC porta con sé un piccolo chip che dice alla scheda madre cos'è: quanto è grande, quanto è veloce, quali timing usare. Ricercatori della University of Birmingham e della Durham University hanno dimostrato che, su molta memoria destinata ai consumatori, quel chip può essere semplicemente riscritto da software già in esecuzione sulla macchina. Il loro documento - "Download More RAM: Dismantling Windows Operating System Defences with Mischievous Memory" - è stato presentato al USENIX Security Symposium di Baltimora il 13 agosto.

Se si dice a un PC che ha il doppio della memoria che possiede davvero, succede qualcosa di strano: due indirizzi diversi finiscono per puntare allo stesso chip fisico. Questo apre una porta verso una zona di memoria che Windows e il processore avevano deliberatamente isolato. Sfruttandola, il team ha disattivato Virtualization-based Security e Hypervisor-Enforced Code Integrity, ha messo fuori uso l'antivirus e gli strumenti di monitoraggio costruiti sopra di esso, ha aggirato gli anti-cheat a livello kernel e ha riattivato centinaia di driver presenti nella blocklist, compresi alcuni già visti in campagne ransomware.

La parte scomoda riguarda chi può metterlo in pratica. Gli attacchi ai moduli di memoria richiedevano finora l'apertura del case. Come dicono i ricercatori: "Questo basta uno script. Questo cambia chi può portarlo a termine e quanto può diffondersi." I moduli di Corsair, G.Skill e ADATA sono risultati privi di protezione da scrittura su quel chip di configurazione - secondo la stima del team, circa il 55% della memoria consumer ad alte prestazioni e il 70% del segmento gaming. Le linee Crucial, Kingston, HyperX e alcune di G.Skill erano parzialmente protette.

Prima di allarmarsi: l'attaccante deve prima avere diritti da amministratore sul PC, quindi nessuna pagina web può fare questo da sola. Microsoft lo classifica come CVE-2026-23670 e ha distribuito mitigazioni negli aggiornamenti di aprile 2026, e avere il Secure Boot attivo blocca l'attacco nella forma dimostrata. iCue di Corsair può abilitare la protezione da scrittura a posteriori, e HWiNFO può farlo per le altre marche.

Il controllo dello stato di sicurezza di Tendvane dice chiaramente se Secure Boot e BitLocker sono davvero attivi - le stesse due impostazioni che continuano a rivelarsi decisive in storie come questa.