Microsoft ha rilasciato aggiornamenti di sicurezza che risolvono un numero record di 1.413 vulnerabilità presenti nel proprio portafoglio di prodotti. Il rilascio include una vulnerabilità attualmente sfruttata, diverse vulnerabilità rese pubbliche e oltre 70 falle classificate come “critiche”. In particolare, una vulnerabilità di Windows Shell attualmente sfruttata consente agli aggressori di aggirare le protezioni Mark of the Web (MOTW), rendendo potenzialmente possibile l’esecuzione di contenuti dannosi diffusi tramite e-mail di phishing e link malevoli.
Considerato il volume delle vulnerabilità e la presenza di sfruttamenti attivi, le organizzazioni dovrebbero dare priorità all’applicazione delle patch, in particolare per i sistemi esposti a Internet, le workstation con privilegi e le risorse infrastrutturali critiche.
Microsoft ha risolto:
CVSS: 8,8
Stato: attivamente sfruttata in ambiente reale
Questa vulnerabilità è un difetto di iniezione di comandi all’interno di Windows Shell che può essere sfruttato per aggirare le protezioni Microsoft Mark of the Web (MOTW). Uno sfruttamento riuscito potrebbe consentire a file dannosi inviati tramite e-mail, piattaforme di messaggistica o contenuti scaricati di eludere i controlli di sicurezza progettati per avvisare gli utenti prima dell’esecuzione.
Scenario di attacco
Un aggressore invia un file appositamente creato tramite e-mail o messaggistica istantanea e induce un utente ad aprirlo. Lo sfruttamento richiede l’interazione dell’utente, ma consente all’aggressore di aggirare le protezioni MOTW.
Rischio
La CISA ha aggiunto questa vulnerabilità al proprio catalogo delle vulnerabilità note soggette a exploit (KEV).
CVSS: 8,8
Stato: divulgata pubblicamente
Questa vulnerabilità consente a un aggressore autenticato localmente di aggirare le restrizioni di Windows Defender Application Control (WDAC) caricando un assembly .NET dannoso in un processo protetto. Non è richiesta l’interazione dell’utente.
Impatto potenziale
Questa vulnerabilità è particolarmente preoccupante in quanto tecnica post-compromissione, in quanto consente agli aggressori che dispongono già dell’accesso al sistema di indebolire i controlli di sicurezza degli endpoint.
CVSS: 5,3
Stato: divulgata pubblicamente
Una vulnerabilità nell’allocazione della memoria non correttamente controllata in MessagePack-CSharp potrebbe consentire a un aggressore remoto di innescare condizioni di denial-of-service.
Sebbene non sia grave quanto le vulnerabilità attivamente sfruttate, la divulgazione pubblica potrebbe aumentare i tentativi di sfruttamento.
CVSS: 9,8
Una vulnerabilità di tipo buffer overflow basata sull'heap che interessa la Raw Image Extension di Microsoft può portare all'esecuzione di codice remoto. È sufficiente che un aggressore convinca un utente ad accedere a una cartella contenente un file immagine RAW dannoso. La sola generazione delle miniature da parte di Windows può far scattare la vulnerabilità senza che l'immagine venga aperta.
Impatto potenziale
La preoccupazione principale è rappresentata da CVE-2026-96951, poiché viene attivamente sfruttata e fornisce un meccanismo per aggirare le protezioni MOTW, spesso utilizzate per difendersi dal phishing e dalla diffusione di malware.
Gli aggressori sfruttano comunemente tecniche di aggiramento di MOTW per:
La vulnerabilità di bypass del WDAC di .NET Framework aumenta ulteriormente il rischio, consentendo agli autori delle minacce che hanno già stabilito un punto d’appoggio di eludere le misure di protezione del controllo delle applicazioni ed eseguire codice non autorizzato.
Immediate (0-24 ore)