Microsoft ha rilasciato una patch critica per una vulnerabilità in Windows Shell, attivamente sfruttata per bypassare i controlli di sicurezza sui file scaricati da internet.
Nel corso del ciclo di aggiornamenti di sicurezza di ottobre 2026, Microsoft ha rilasciato una patch risolutiva per una pericolosa vulnerabilità identificata come CVE-2026-96951. Il difetto, che colpisce il componente Windows Shell, è stato classificato come "Importante" con un punteggio CVSS v3.1 di 8.8, riflettendo la sua capacità di compromettere seriamente la sicurezza dei sistemi operativi Windows. La criticità principale risiede nella possibilità, per un attaccante remoto, di aggirare le protezioni native del sistema legate al Mark of the Web (MOTW).
Il Mark of the Web è un meccanismo di sicurezza fondamentale in Windows. Quando un utente scarica un file da una fonte non attendibile (come internet), il sistema operativo aggiunge dei metadati in un flusso di dati alternativo chiamato Zone.Identifier. Questi dati segnalano a Windows e alle applicazioni, come Microsoft Office o SmartScreen, che il contenuto proviene da una zona potenzialmente pericolosa. Grazie a questo "tag", il sistema attiva misure di protezione come la Protected View o avvisi di sicurezza prima dell'esecuzione di eseguibili.
La vulnerabilità CVE-2026-96951 permette agli attaccanti di manipolare o eludere questo sistema di marcatura. Tecnicamente classificata sotto la categoria CWE-77 (Command Injection), la falla consente di neutralizzare impropriamente gli elementi di controllo, rendendo il file scaricato apparentemente "sicuro" agli occhi del sistema operativo. Di conseguenza, le difese di Windows vengono disabilitate, permettendo l'esecuzione di codice potenzialmente dannoso senza che l'utente riceva i consueti avvisi di sicurezza.
Sebbene la vulnerabilità sia classificata come accessibile via rete, l'esecuzione dell'attacco richiede un'interazione attiva da parte dell'utente. Gli analisti di sicurezza, inclusi gli esperti di Tenable, sottolineano che gli aggressori utilizzano tipicamente tecniche di social engineering tramite email o piattaforme di messaggistica per indurre la vittima ad aprire il file malevolo. Una volta aperto, il bypass del MOTW permette al payload di eludere i controlli di integrità e riservatezza.
È importante sottolineare che, sebbene Microsoft abbia confermato che la vulnerabilità è oggetto di sfruttamento attivo (in-the-wild), al momento non sono stati resi noti dettagli specifici sugli attori delle minacce, sulle organizzazioni colpite o sulle infrastrutture utilizzate. Non vi è alcuna prova che tutti i file colpiti eseguano automaticamente codice malevolo senza condizioni aggiuntive, ma la facilità di esecuzione rende la minaccia estremamente pericolosa per le aziende e gli utenti privati.
Data la natura attiva dello sfruttamento, l'applicazione della patch di ottobre è da considerarsi una priorità assoluta per gli amministratori di sistema. Le organizzazioni dovrebbero:
In attesa di ulteriori dettagli tecnici sulla sintassi dei comandi sfruttati, la strategia migliore rimane il patching tempestivo e il monitoraggio costante dei log di sistema per individuare tentativi di accesso anomali.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
