CVE-2026-96951: aggiramento di Mark of the Web nella shell di Windows sfruttato attivamente - installare l'aggiornamento di ottobre

Il 13 ottobre 2026, con gli aggiornamenti mensili di sicurezza, Microsoft ha chiuso una vulnerabilità nella shell di Windows già utilizzata per attacchi. La vulnerabilità è identificata come CVE-2026-96951 e Microsoft la valuta “Important” con CVSS 8.8. Un aggressore invia un file appositamente predisposto tramite e-mail o messaggio istantaneo; se la vittima lo apre, la protezione Mark of the Web (MotW) non interviene. Microsoft segnala lo sfruttamento come rilevato e l’agenzia statunitense CISA ha inserito la vulnerabilità, lo stesso giorno, nel proprio catalogo delle vulnerabilità sfruttate (KEV). Gli aggiornamenti sono disponibili per tutte le versioni di Windows elencate; Microsoft non indica alcuna soluzione alternativa.

I punti principali in breve

Versioni interessate e aggiornamenti

Le informazioni provengono dal Security Update Guide di Microsoft. In ogni caso è interessata qualsiasi build inferiore a quella indicata.

Per Windows 10 22H2, il Security Update Guide indica la build 10.0.19044.7807. La pagina KB di Microsoft riporta invece KB5126657 con build 19045.7807 per 22H2 e 19044.7807 per 21H2; la tabella segue la pagina KB. Windows 10 22H2 e Windows Server 2012 R2 compaiono nel Security Update Guide soltanto come voci ESU. I dispositivi senza Extended Security Updates non ricevono l’aggiornamento e rimangono vulnerabili.

Per Outlook.com, oltre al numero di versione 20260925.100 e al riferimento alle Release Notes, Microsoft non fornisce ulteriori dettagli.

È possibile verificare se l’aggiornamento è installato con Get-HotFix in locale o su più computer:

Get-HotFix -Id KB5126655 -ComputerName srv01.example.com, srv02.example.com

Se il comando non restituisce alcun risultato per un computer, l’aggiornamento manca su quel computer. Get-HotFix legge la classe WMI Win32_QuickFixEngineering e mostra solo gli aggiornamenti installati tramite Component Based Servicing.

Cosa si sa sullo sfruttamento

Nelle FAQ dell’advisory, Microsoft descrive uno scenario di attacco via e-mail o messaggio istantaneo: l’aggressore invia alla vittima un file appositamente predisposto. Non può costringere la vittima ad aprire il file e deve indurla a fare clic su un link o ad aprire un allegato. La conseguenza è l’aggiramento di Mark of the Web. Mark of the Web è l’etichetta che Windows applica ai file provenienti da Internet; secondo l’analisi di CrowdStrike, attiva tra l’altro la visualizzazione protetta in Office e l’avviso SmartScreen per i programmi scaricati.

Microsoft classifica la vulnerabilità come sfruttata e non nota pubblicamente prima del Patch Tuesday. Secondo Tenable, è la terza vulnerabilità della shell di Windows sfruttata quest’anno, dopo CVE-2026-21510 (febbraio) e CVE-2026-32202 (aprile).

Al 14 ottobre 2026 mancano informazioni pubbliche su aggressori, campagne, obiettivi, tipi di file utilizzati e indicatori. CISA indica l’impiego da parte di gruppi ransomware come “Unknown”.

Misure immediate

1. Installare l’aggiornamento: installare l’aggiornamento cumulativo di ottobre dalla tabella su tutti i client e server Windows e riavviarli. Microsoft richiede un riavvio per tutte le voci. I client con accesso a e-mail e chat dovrebbero avere priorità, poiché è lì che si basa lo scenario di attacco descritto.

2. Verificare lo stato di installazione: utilizzare Get-HotFix o la propria gestione degli aggiornamenti per dimostrare che l’aggiornamento è installato su tutti i dispositivi e aggiornare i dispositivi mancanti.

3. Gestire i sistemi senza aggiornamento: Windows 10 22H2 e Windows Server 2012 R2 senza ESU non ricevono l’aggiornamento. Includere questi dispositivi nel programma ESU, aggiornarli a una versione supportata o separarli dal traffico e-mail e chat.

4. Ridurre l’esposizione: poiché Microsoft non indica alcuna soluzione alternativa, fino all’aggiornamento resta solo rendere più difficile la consegna di file appositamente predisposti. Il filtraggio degli allegati sul gateway e-mail o in Exchange Online Protection e il controllo dei link riducono il numero di file che arrivano effettivamente all’utente. Gli utenti dovrebbero essere informati che sono attualmente in corso attacchi con allegati appositamente predisposti.

Verifica di compromissione

Microsoft, CISA e le analisi esaminate non indicano, al 14 ottobre 2026, alcun indicatore (nomi di file, hash, indirizzi IP o domini). Non è quindi possibile una ricerca mirata di questa vulnerabilità. Oltre all’aggiornamento, CISA richiede alle agenzie federali statunitensi un triage forense secondo le disposizioni della direttiva BOD 26-04.

L’aggiornamento chiude la vulnerabilità, ma non annulla eventuale malware già eseguito. Sono pertanto utili:

1. Avvisi della soluzione di sicurezza degli endpoint (ad esempio Microsoft Defender for Endpoint) delle ultime settimane, controllando i file avviati da allegati e-mail, messaggi chat o download.

2. Log del gateway e-mail e della quarantena per verificare allegati e link segnalati dagli utenti o rilasciati nonostante l’avviso.

3. Isolare i dispositivi sospetti e salvare i log prima della bonifica, affinché rimanga possibile un’analisi forense.

4. Monitorare l’advisory: se Microsoft integra l’advisory o un’azienda di sicurezza pubblica indicatori, ripetere la ricerca con tali elementi.

Contesto

La shell di Windows è parte di ogni installazione Windows; per questo CrowdStrike considera praticamente l’intera base Windows tra i sistemi interessati. Lo scenario di attacco coinvolge l’utente: è sufficiente un allegato o un link inviato tramite e-mail o chat, se la vittima lo apre. Mark of the Web è alla base di varie funzioni di protezione di Windows e Office; un aggiramento rimuove gli avvisi che altrimenti gli utenti vedrebbero prima di aprire un file. Non è stato possibile trovare, fino al 14 ottobre 2026, una comunicazione del Centro nazionale per la cibersicurezza (NCSC) o di altri CERT europei su CVE-2026-96951.