Aggiornamento cumulativo Windows 11 di giugno 2026 (KB5094126)

Simone Termine

Introduzione

Microsoft ha rilasciato gli aggiornamenti cumulativi di giugno 2026 per le versioni supportate di Windows. Per Windows 11, le KB principali sono KB5094126 per Windows 11 25H2 e 24H2 e KB5093998 per Windows 11 23H2. Windows 10 riceve invece KB5094127, disponibile per i dispositivi coperti dal programma Extended Security Updates e per le edizioni LTSC ancora supportate. Si tratta degli aggiornamenti di sicurezza del Patch Tuesday del 9 giugno 2026.

Oltre alle correzioni di sicurezza del mese, KB5094126 include i miglioramenti già distribuiti con la preview KB5089573 di fine maggio. In questo articolo vedremo quali build vengono installate, quali sono le modifiche più rilevanti e cosa controllare prima di avviare la distribuzione tramite Windows Update for Business, Microsoft Intune, Windows Autopatch o WSUS.

Le KB di giugno 2026

Come al solito, Windows 11 25H2 e 24H2 condividono la stessa KB, ma arrivano a build differenti. Windows 11 23H2 riceve invece un pacchetto separato.

KB5094126 per Windows 11 25H2 e 24H2

La KB5094126 porta Windows 11 25H2 alla build 26200.8655 e Windows 11 24H2 alla build 26100.8655. L’aggiornamento contiene le correzioni di sicurezza di giugno e tutte le modifiche già introdotte con la preview KB5089573. Chi non ha installato la preview riceve quindi anche i miglioramenti relativi a performance, Windows Hello, Task Manager, Camera, USB, Storage e affidabilità della shell.

Tra le novità già anticipate dalla preview troviamo l’avvio più rapido delle applicazioni e una maggiore reattività di Start, Windows Search e Action Center. Task Manager guadagna nuove informazioni sull’utilizzo della NPU, mentre Windows Hello riceve correzioni per la ripresa da Modern Standby e per alcuni blocchi legati a Enhanced Sign-in Security. Sono inclusi anche Multi-App Camera e Basic Camera mode, configurabili tramite Group Policy, oltre a diversi interventi sui display collegati a dock e hub USB4. Quest’ultimo punto merita un test sui modelli hardware più diffusi in azienda, soprattutto se sono già presenti segnalazioni relative a monitor esterni che non si riattivano dopo lo standby. Per il dettaglio completo di queste modifiche potete consultare l’articolo Preview aggiornamento cumulativo di giugno 2026 (KB5089573) già pubblicato su Endpoint Ninja.

Corretti i BSOD legati alla virtualizzazione

La novità più importante introdotta direttamente con KB5094126 riguarda alcuni arresti anomali comparsi dopo l’installazione della preview KB5089573. Su alcuni dispositivi potevano verificarsi gli stop code HYPERVISOR_ERROR (0x20001) e KMODE_EXCEPTION_NOT_HANDLED (0x1E). Gli errori potevano comparire durante il riavvio del sistema, l’esecuzione di macchine virtuali o l’avvio di alcune applicazioni che usano le funzionalità di virtualizzazione.

La KB5094126, comunque, corregge il problema. Il fix interessa soprattutto i dispositivi che utilizzano Hyper-V, Windows Sandbox, Virtual Machine Platform, Windows Subsystem for Linux 2 o altre soluzioni basate sull’hypervisor di Windows. Nei ring pilota conviene quindi includere almeno una parte dei dispositivi che usano queste funzionalità, invece di limitare il test alle normali postazioni da ufficio.

Nuovo hardening per i file desktop.ini

L’aggiornamento cambia anche il modo in cui Windows gestisce i file desktop.ini provenienti da origini che non considera attendibili. I file desktop.ini vengono usati, tra le altre cose, per assegnare icone personalizzate alle cartelle o visualizzare nomi localizzati. Dopo l’installazione delle patch di giugno, Windows ignora il file quando non riesce a stabilire che provenga da una fonte attendibile. Di conseguenza, alcune cartelle potrebbero perdere l’icona personalizzata oppure mostrare il nome originale al posto di quello localizzato. L’accesso alla cartella e ai file contenuti non cambia. Il comportamento può presentarsi con file:

Non si tratta di un errore della KB, ma di una modifica di sicurezza intenzionale. Per le risorse aziendali controllate, la soluzione preferibile è classificare l’origine come attendibile tramite le impostazioni di zona. Esiste anche la policy Allow the use of remote paths in file shortcut icons, che ripristina il comportamento precedente, ma riduce la protezione e andrebbe applicata solo quando serve davvero. Se il problema dipende dal Mark of the Web e il file proviene da una fonte verificata, è possibile rimuoverlo con PowerShell:

Unblock-File "C:\Percorso\Cartella\desktop.ini"

Per elaborare tutti i file desktop.ini presenti sotto un percorso:

Get-ChildItem "C:\Percorso\Cartella" -Recurse -Filter desktop.ini -Force | Unblock-File

Prima di usare questi comandi su larga scala, va verificata l’origine dei file (rimuovere il Mark of the Web significa rimuovere anche la protezione associata).

Secure Boot e nuovi certificati

Il rinnovo dei certificati Secure Boot resta uno dei temi centrali anche per questo aggiornamento. I certificati usati dalla maggior parte dei dispositivi Windows hanno iniziato a raggiungere la scadenza da giugno 2026 e i dispositivi che non hanno ancora ricevuto i nuovi certificati continueranno comunque ad avviarsi e a installare gli aggiornamenti standard. La distribuzione dei certificati aggiornati proseguirà tramite Windows Update.

KB5094126 aggiunge altri dati di targeting per aumentare il numero di dispositivi che possono ricevere automaticamente i nuovi certificati. L’assegnazione resta graduale e viene effettuata solo dopo che il dispositivo ha completato con successo un numero sufficiente di aggiornamenti. Il fatto che un dispositivo non riceva subito i nuovi certificati, quindi, non indica per forza un problema (per il momento).

Per gli ambienti gestiti resta opportuno verificare lo stato del parco e seguire le indicazioni del Secure Boot Playbook, soprattutto quando sono presenti configurazioni firmware non uniformi, dispositivi meno recenti o policy BitLocker personalizzate. Per maggiori informazioni potete consultare il mio articolo Aggiornamento dei certificati Secure Boot: cosa cambia nel 2026 e come gestirlo in azienda pubblicato su ICT Power.

Attenzione alle immagini di installazione e al file boot.stl

La documentazione di KB5094126 contiene una nota importante per chi aggiorna immagini Windows offline o usa Dynamic Update durante il deployment: il file boot.stl deve essere incluso nei supporti di installazione aggiornati e, se manca, il dispositivo potrebbe non riuscire ad avviarsi dal supporto e restituire l’errore 0xc0430001. Il file boot.stl viene usato durante la validazione Secure Boot e deve corrispondere alla versione e all’architettura dell’immagine Windows. Per aggiornare correttamente il supporto è possibile usare lo script Microsoft Update WinPE, che rappresenta l’opzione consigliata, oppure copiare manualmente il file dalla cartella Windows\Boot\EFI.

Questo controllo è particolarmente importante per chi mantiene immagini personalizzate, task sequence Configuration Manager, supporti USB aggiornati manualmente o processi di deployment che integrano i pacchetti Dynamic Update. Non basta quindi applicare la LCU alla WIM. Va verificato che anche i componenti usati durante il boot siano in linea con la versione aggiornata dell’immagine.

Servicing Stack Update KB5094135

La KB include anche il nuovo Servicing Stack Update KB5094135, versione 26100.8648. Il servicing stack gestisce l’installazione degli aggiornamenti Windows. La SSU viene integrata direttamente nella cumulative update, quindi non serve distribuirla separatamente. L’utente non vede differenze nell’interfaccia, ma l’aggiornamento dello stack riduce il rischio di errori durante il servicing e mantiene coerente il processo di installazione delle patch successive. La KB aggiorna anche i componenti AI Image Search, Content Extraction, Semantic Analysis e Settings Model alla versione 1.2605.856.0. Questi componenti vengono installati solo sui Copilot+ PC compatibili.

Problemi noti di KB5094126

Quando ho pubblicato l’articolo, la pagina Microsoft non riportava problemi noti aperti per KB5094126 su Windows 11 25H2 e 24H2. La documentazione è stata poi aggiornata e oggi risultano due known issues da tenere in considerazione.

Le applicazioni di Microsoft Office potrebbero non aprirsi da determinate app di terze parti

Il primo riguarda alcune applicazioni di terze parti che, dopo l’installazione degli aggiornamenti Windows rilasciati a partire dal 9 giugno 2026, potrebbero non riuscire ad avviare applicazioni Microsoft Office o ad aprire documenti Office. Il problema interessa le applicazioni che usano l’automazione OLE per interagire con Office.

In alcuni casi Word, Excel, PowerPoint, Access o altre applicazioni Office potrebbero non aprirsi quando vengono richiamate dall’applicazione di terze parti interessata, anche senza mostrare un messaggio di errore.

Le segnalazioni citate da Microsoft riguardano applicazioni come CCH Engagement, Workpaper Manager, alcuni software odontoiatrici come Dentrix e Softdent, e Zotero. Potrebbero però essere interessate anche altre applicazioni con un comportamento simile.

La soluzione temporanea è aprire direttamente l’applicazione Office o il documento, invece di avviarli dall’applicazione di terze parti. Per le organizzazioni, Microsoft indica anche la disponibilità di una soluzione alternativa per i dispositivi impattati, da richiedere tramite il supporto Microsoft per le aziende. La correzione definitiva è prevista in un futuro aggiornamento di Windows.

L’eliminazione dal Cestino visualizza un nome di file interno

Il secondo problema riguarda il Cestino. Dopo l’installazione degli aggiornamenti Windows rilasciati il 9 giugno 2026, quando si elimina definitivamente un singolo elemento, la finestra di conferma potrebbe mostrare il nome file interno del Cestino, ad esempio un nome nel formato $Rxxxxx.ext, invece del nome originale del file.

L’impatto è limitato alla finestra di conferma. Nel Cestino l’elemento continua a essere visualizzato con il nome originale e, se viene ripristinato, Windows lo ripristina usando sempre il nome originale.

Anche per questo problema Microsoft indica la disponibilità di una soluzione alternativa per i dispositivi interessati, da richiedere tramite il supporto Microsoft per le aziende. La correzione definitiva verrà inclusa in un futuro aggiornamento di Windows.

Questi due problemi non bloccano necessariamente il rollout della KB, ma vanno considerati nel pilot e nella comunicazione al service desk. Il primo può avere impatto operativo negli ambienti dove applicazioni gestionali, documentali o verticali aprono file Office tramite automazione OLE. Il secondo è meno critico, ma può generare richieste da parte degli utenti perché il nome mostrato nella conferma di eliminazione non corrisponde a quello del file originale.

KB5093998 per Windows 11 23H2

Per Windows 11 23H2 la KB del mese è KB5093998, che porta il sistema operativo alla build 22631.7219. L’aggiornamento include le correzioni di sicurezza di giugno e i miglioramenti già presenti nella KB5087420 di maggio. Anche su Windows 11 23H2 continua la distribuzione graduale dei nuovi certificati Secure Boot, e viene inoltre aggiunta la policy LimitSecureBootRequiredServiceData, disponibile in Computer Configuration > Administrative Templates > Windows Components > Secure Boot

Quando viene abilitata, Windows limita i dati del servizio Secure Boot inviati a Microsoft. La policy fa parte della Windows Restricted Traffic Limited Functionality Baseline e può essere utile negli ambienti con requisiti rigidi sul traffico di sistema. Prima di applicarla, però, va valutato l’impatto sul processo di aggiornamento e monitoraggio dei certificati. La KB5093998 corregge anche il problema che poteva portare alcuni dispositivi in BitLocker Recovery dopo l’aggiornamento dei file di boot. Lo scenario riguardava configurazioni TPM non corrette, in particolare profili di validazione che includevano PCR7 quando il binding non era disponibile.

Ci sono poi due correzioni utili in ambito aziendale: la prima migliora la sincronizzazione e il rinnovo dei certificati sui dispositivi iscritti contemporaneamente a più piattaforme di gestione. La seconda interviene sulla ricerca di File Explorer, aggiungendo un supporto migliore per il testo cinese e per i file UTF-8 privi di byte order mark.

Anche per KB5093998 non risultano problemi noti aperti. Va però considerata la scadenza del supporto: Windows 11 23H2 Enterprise ed Education raggiungeranno la fine degli aggiornamenti il 10 novembre 2026. Gli ambienti che hanno ancora questa versione dovrebbero avere già pianificato l’aggiornamento a una release successiva.

KB5094127 per Windows 10 ESU

Windows 10 ha terminato il supporto standard il 14 ottobre 2025. Gli aggiornamenti successivi sono disponibili solo per i dispositivi coperti dal programma Extended Security Updates e per le edizioni LTSC ancora supportate. La KB di giugno è KB5094127. Windows 10 22H2 passa alla build 19045.7417, mentre Windows 10 Enterprise LTSC 2021 e Windows 10 IoT Enterprise LTSC 2021 passano alla build 19044.7417.

La KB aggiorna la ricerca di File Explorer, migliora la visualizzazione dello stato Secure Boot nella Windows Security App e introduce la stessa policy LimitSecureBootRequiredServiceData disponibile su Windows 11. Anche Windows 10 riceve il nuovo hardening dei file desktop.ini. Le cartelle provenienti da percorsi remoti o non attendibili possono quindi perdere icone personalizzate o nomi localizzati, senza alcun impatto sull’accesso ai dati. Su Windows 10 resta però aperto un problema noto legato a BitLocker. Alcuni dispositivi con una configurazione Group Policy non raccomandata possono richiedere la recovery key al primo riavvio dopo l’installazione.

Lo scenario si presenta solo quando sono vere tutte queste condizioni:

In questo caso la recovery key viene richiesta una sola volta, a condizione che la policy non venga modificata di nuovo. Prima del rollout conviene controllare lo stato con msinfo32 e verificare BitLocker con:

manage-bde -status C:

La mitigazione consigliata consiste nel riportare a Not Configured la policy sotto Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives > Configure TPM platform validation profile for native UEFI firmware configurations

Dopo aver aggiornato la policy, è possibile forzarne l’applicazione e aggiornare i binding BitLocker:

gpupdate /force
manage-bde -protectors -disable C:
manage-bde -protectors -enable C:

Prima di intervenire, va verificato che le recovery key siano correttamente archiviate in Active Directory, Microsoft Entra ID o nel sistema di escrow usato dall’azienda.

Nota su Windows 11 26H1

Microsoft ha pubblicato anche KB5095051 per Windows 11 26H1, che porta il sistema operativo alla build 28000.2269. La KB corregge un problema nei test BitLocker Drive Encryption, aggiorna la gestione dei file desktop.ini e include le correzioni di sicurezza di giugno. Windows 11 26H1 resta una versione destinata a specifici dispositivi introdotti nel 2026 e non viene offerta come aggiornamento in-place ai PC esistenti con Windows 11 24H2 o 25H2. Per questo motivo non rappresenta il riferimento principale per la maggior parte degli ambienti aziendali. Per maggiori informazioni potete consultare l’articolo Windows 11 26H1 spiegato semplice pubblicato su Endpoint Ninja.

Scadenze di supporto da tenere presenti

Le note di giugno riportano due scadenze ormai vicine:

• Windows 11 24H2 Home e Pro raggiungeranno la fine degli aggiornamenti il 13 ottobre 2026. Le edizioni Enterprise ed Education resteranno invece supportate fino al 12 ottobre 2027
• Windows 11 23H2 Enterprise ed Education termineranno il supporto il 10 novembre 2026

Per gli ambienti gestiti non è più il momento di limitarsi a censire le versioni. Chi ha ancora Windows 11 23H2 deve già avere un piano di aggiornamento, mentre la presenza di Windows 11 24H2 Pro va valutata in base ai tempi necessari per passare alla release successiva.

Come distribuire gli aggiornamenti in ambienti gestiti

Le KB di giugno vengono distribuite automaticamente tramite Windows Update, Windows Update for Business e Windows Autopatch, nel rispetto delle policy configurate. Sono disponibili anche nel Microsoft Update Catalog e vengono sincronizzate con WSUS come Security Updates. Il modello di distribuzione dovrebbe restare basato su ring distinti:

Nel pilota di questo mese includerei dispositivi con Hyper-V o WSL2, notebook collegati a dock USB4, postazioni con Windows Hello for Business e sistemi che accedono a share con cartelle personalizzate tramite desktop.ini. Per i processi OSD o di aggiornamento delle immagini va controllata anche la presenza del file boot.stl nei supporti di installazione.

Cosa controllare dopo l’installazione

Dopo l’installazione è possibile verificare la build del sistema operativo con winver

Oppure da PowerShell:

Get-ComputerInfo | Select-Object WindowsProductName, WindowsVersion, OsBuildNumber

Per controllare la presenza delle KB:

Get-HotFix | Where-Object {$_.HotFixID -in "KB5094126","KB5093998","KB5094127","KB5095051"}

Conclusioni

Le KB di giugno 2026 includono le correzioni di sicurezza del mese e rendono disponibili a tutti i dispositivi idonei i miglioramenti già introdotti con la preview KB5089573. Per Windows 11 25H2 e 24H2, i punti principali sono la correzione dei BSOD legati alla virtualizzazione, il nuovo hardening dei file desktop.ini, la gestione dei certificati Secure Boot e il requisito del file boot.stl per i supporti aggiornati tramite Dynamic Update. Windows 11 23H2 riceve correzioni per BitLocker, device management e File Explorer, ma si avvicina alla fine del supporto prevista per novembre 2026. Windows 10 continua a ricevere aggiornamenti solo nei contesti ESU e LTSC, con un problema noto BitLocker da controllare nei dispositivi che usano profili TPM personalizzati.

Il rollout non richiede blocchi preventivi generalizzati, ma il pilot va costruito sui casi che possono davvero esporre problemi. Virtualizzazione, docking station, Windows Hello, share di rete personalizzate, BitLocker e immagini di installazione sono i controlli da non saltare questo mese.