Segui Microsoft ha corretto CVE-2026-96951, una vulnerabilità di bypass della funzionalità di sicurezza di Windows Shell ad alta gravità che viene già sfruttata in attacchi reali. Il difetto ha un punteggio CVSS di 8,8 e consente a un attaccante non autenticato di eludere le protezioni Mark of the Web (MOTW) convincendo una vittima a interagire con un file appositamente predisposto.
La vulnerabilità zero-day è stata affrontata come parte del Patch Tuesday di ottobre 2026 di Microsoft, un rilascio di sicurezza insolitamente ampio che copre oltre 1.400 vulnerabilità su Windows, Office, SharePoint Server, SQL Server, strumenti di sviluppo e altri prodotti Microsoft. CVE-2026-96951 si distingue perché Microsoft ha confermato un attivo sfruttamento in natura.
Mark of the Web è un meccanismo di sicurezza fondamentale di Windows che contrassegna i file provenienti da posizioni potenzialmente non affidabili come internet o email. Windows e le applicazioni possono usare queste informazioni per visualizzare avvisi di sicurezza, attivare la Visualizzazione protetta o applicare restrizioni aggiuntive prima che vengano eseguiti contenuti potenzialmente pericolosi.
Una vulnerabilità in grado di bypassare questa protezione può quindi indebolire diversi livelli di difesa su cui si fa comunemente affidamento per mitigare il phishing e la consegna di file malevoli.
I team di sicurezza possono rafforzare le difese contro gli sfruttamenti emergenti con la piattaforma di Intelligenza di Rilevazione AI-Nativa di SOC Prime, che consente alle organizzazioni di rendere operative le informazioni sulle minacce e applicare contenuti di rilevamento pertinenti su tutto il loro stack di sicurezza.
Prime Architect può ulteriormente accelerare l’ingegneria del rilevamento aiutando i difensori a ricercare minacce emergenti, generare e affinare la logica di rilevamento, convertire gli indicatori in query di ricerca e adattare i rilevamenti alla telemetria organizzativa.
Analisi di CVE-2026-96951
CVE-2026-96951 colpisce Windows Shell e risulta da un’impropria neutralizzazione di elementi speciali utilizzati in un comando, categorizzata come CWE-77 Command Injection. Microsoft descrive la vulnerabilità come tale da consentire a un attaccante non autorizzato di bypassare una funzionalità di sicurezza su una rete.
Microsoft ha assegnato al difetto un punteggio CVSS 3.1 di 8,8 con il vettore AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Ciò significa che lo sfruttamento può originare da remoto, richiede una complessità d’attacco bassa e nessun privilegio preliminare, ma dipende dall’interazione dell’utente. Uno sfruttamento riuscito può avere un impatto potenziale elevato su riservatezza, integrità e disponibilità.
Il controllo di sicurezza a rischio è Mark of the Web. Quando Windows riceve un file da internet o da un’altra fonte non attendibile, i metadati MOTW normalmente indicano che il file è originato al di fuori dell’ambiente fidato. Le funzionalità di sicurezza di Windows e le applicazioni possono quindi applicare protezioni aggiuntive prima di aprirlo o eseguirlo.
Secondo Microsoft, uno sfruttamento riuscito consente a un attaccante di eludere queste difese MOTW. In uno scenario di email o messaggistica istantanea, un attaccante potrebbe inviare un file malevolo appositamente predisposto e convincere il bersaglio ad aprirlo. In alternativa, un attore di minaccia potrebbe indurre la vittima a visitare un sito web controllato dall’attaccante e convincerla a scaricare e visualizzare contenuti malevoli.
L’attaccante non può obbligare la vittima ad aprire automaticamente il contenuto malevolo. È necessaria l’interazione dell’utente, il che rende percorsi di consegna probabili il phishing, l’ingegneria sociale, gli allegati malevoli e i collegamenti ingannevoli.
Il record CVE identifica un’ampia gamma di ambienti Windows interessati, inclusi Windows 10, diversi rilasci di Windows 11 e edizioni di Windows Server da Server 2012 R2 a Server 2025. Il record di Microsoft elenca anche Outlook.com come affetto prima della corrispondente correzione lato servizio.
La vulnerabilità è particolarmente rilevante negli ambienti aziendali perché il bypass di MOTW può compromettere i livelli di sicurezza destinati a fermare i file consegnati tramite campagne di phishing. Una volta che un file malevolo evita gli avvisi o le restrizioni previste, l’esecuzione di payload aggiuntivi può diventare più semplice, a seconda del contenuto e della catena d’attacco successiva.
Microsoft ha confermato che gli attaccanti stavano già sfruttando la vulnerabilità prima che le patch diventassero pubblicamente disponibili, rendendola un giorno-zero. Tuttavia, l’azienda non ha rivelato chi sia responsabile degli attacchi, quali organizzazioni siano state prese di mira o la catena di sfruttamento esatta utilizzata negli incidenti osservati.
Microsoft ha attribuito a Riku Bamba e Yuya Chudo di Fujitsu, Benoit Sevens usando Claude con Anthropic, e al ricercatore di sicurezza yhw la segnalazione della vulnerabilità. La precisa data di scoperta originale non è stata pubblicamente divulgata.
Al momento della stesura, le fonti primarie esaminate non documentano un PoC (Proof of Concept) di CVE-2026-96951 disponibile pubblicamente. Tuttavia, lo sfruttamento confermato aumenta significativamente l’urgenza di applicare patch anche in assenza di codice di exploit pubblico.
Per il rilevamento di CVE-2026-96951, i difensori dovrebbero monitorare file sospetti originanti da email, piattaforme di messaggistica, browser e directory di download utente, in particolare quando l’attività successiva indica che le normali protezioni MOTW potrebbero non essere state applicate.
I segnali comportamentali potenziali possono includere processi figlio inattesi generati da Windows Explorer o applicazioni di elaborazione documenti, interpreti di script avviati da contenuti scaricati, esecuzioni anomale da directory temporanee o scrivibili dagli utenti, e attività post-consegna incoerenti con il tipo di file atteso.
Mitigazione di CVE-2026-96951
Microsoft ha risolto la vulnerabilità tramite i suoi aggiornamenti di sicurezza del 13 ottobre 2026. Le organizzazioni dovrebbero prioritizzare la distribuzione sui terminali Windows supportati e sui server, in particolare i sistemi esposti ad allegati e-mail, messaggistica istantanea, download web e altri comuni vettori di consegna del phishing.
Il record CVE elenca le soglie di build corrette per le piattaforme interessate. Esempi includono Windows 11 23H2 build 22631.7652, Windows 11 24H2 build 26100.9711, Windows 11 25H2 build 26200.9711 e Windows Server 2025 build 26100.33650. Gli amministratori dovrebbero fare affidamento sulla guida di aggiornamento della sicurezza di Microsoft e sui meccanismi di Windows Update per determinare l’aggiornamento appropriato per ciascun sistema operativo supportato.
Poiché lo sfruttamento attivo è già stato confermato, CISA ha aggiunto CVE-2026-96951 al suo catalogo delle Vulnerabilità Sfruttate Note il 13 ottobre 2026, con una scadenza per il rimedio il 16 ottobre per le agenzie civili federali degli Stati Uniti applicabili. CISA caratterizza lo sfruttamento come attivo e il potenziale impatto tecnico come totale.
Le organizzazioni non dovrebbero trattare la consapevolezza degli utenti o MOTW stesso come controlli compensativi sufficienti per i sistemi non patchati perché la vulnerabilità sconfigge specificamente quel confine di sicurezza. Ulteriori protezioni come il controllo delle applicazioni, le politiche di riduzione della superficie d’attacco, il filtraggio degli allegati e-mail, la protezione degli endpoint e le restrizioni sui contenuti eseguibili o di script da posizioni scrivibili dagli utenti possono fornire una difesa in profondità.
Per rilevare lo sfruttamento di CVE-2026-96951, i difensori dovrebbero correlare eventi di consegna di file sospetti con l’attività di processo successiva e determinare se il contenuto ottenuto da una fonte esterna sia stato eseguito senza i controlli correlati a MOTW previsti. Gateway e-mail, browser, creazione di processi di Windows, PowerShell, interpreti di script e telemetria degli endpoint possono fornire un contesto utile.
I team di sicurezza dovrebbero anche indagare retroattivamente su allegati o download potenzialmente sospetti osservati prima della distribuzione della patch. Poiché Microsoft non ha divulgato pubblicamente IOCs CVE-2026-96951 specifici per l’attacco come hash di file, domini o indirizzi IP legati allo sfruttamento osservato, il rilevamento comportamentale e la correlazione della catena di attacco sono attualmente più affidabili del matching degli indicatori statici.
Le organizzazioni che identificano attività sospette dovrebbero isolare i terminali interessati, indagare sull’esecuzione e la persistenza dei payload, ispezionare le credenziali accessibili dal contesto utente compromesso e determinare se gli attaccanti abbiano stabilito un accesso aggiuntivo dopo aver bypassato MOTW.
La piattaforma di Intelligenza di Rilevazione AI-Nativa di SOC Prime consente ai team di sicurezza di accelerare la caccia alle minacce e l’ingegneria del rilevamento per le vulnerabilità emergenti, adattando la logica di rilevamento pertinente ai loro ambienti SIEM, EDR, XDR e Data Lake.
FAQ
Cos’è CVE-2026-96951 e come funziona?
CVE-2026-96951 è una vulnerabilità di command injection attivamente sfruttata in Windows Shell che consente a un attaccante non autorizzato di bypassare le protezioni Mark of the Web. Un attaccante può creare contenuti malevoli e usare l’ingegneria sociale per convincere una vittima ad aprire un file o visitare contenuti controllati dall’attaccante. Uno sfruttamento riuscito provoca il mancato applicazione da parte di Windows delle protezioni di sicurezza normalmente associate a file provenienti da posizioni non fidate.
Quando è stato scoperto per la prima volta CVE-2026-96951?
Microsoft non ha divulgato la data di scoperta iniziale esatta. La vulnerabilità è stata pubblicamente divulgata e corretta il 13 ottobre 2026. Microsoft ha dato credito a Riku Bamba e Yuya Chudo di Fujitsu, Benoit Sevens usando Claude con Anthropic, e al ricercatore yhw per la segnalazione del problema.
Qual è l’impatto di CVE-2026-96951 sui sistemi?
Uno sfruttamento riuscito consente agli attaccanti di bypassare Mark of the Web, indebolendo le protezioni applicate ai file ottenuti da fonti non fidate. Questo può aiutare il contenuto malevolo a evitare avvisi previsti e restrizioni e facilitare l’esecuzione di malware successivo, il furto di credenziali, la persistenza o un compromesso più ampio del sistema. Microsoft valuta la vulnerabilità con CVSS 8,8.
CVE-2026-96951 può ancora colpirmi nel 2026?
Sì. I sistemi Windows che non hanno installato gli aggiornamenti di sicurezza di ottobre 2026 possono rimanere vulnerabili. Il rischio è particolarmente urgente perché Microsoft ha confermato attivo sfruttamento e CISA ha aggiunto il difetto al suo catalogo delle Vulnerabilità Sfruttate Note.
Come posso proteggermi da CVE-2026-96951?
Installa senza indugio gli aggiornamenti di sicurezza di ottobre 2026 di Microsoft sui sistemi Windows interessati. Le organizzazioni dovrebbero anche rafforzare il filtro email e web, limitare l’esecuzione di contenuti scaricati sospetti, monitorare catene di processo insolite a seguito della consegna di file e indagare sui terminali potenzialmente colpiti. Gli amministratori dovrebbero continuare a monitorare l’advisory di Microsoft per dettagli aggiornati su CVE-2026-96951 man mano che diventano disponibili ulteriori informazioni sullo sfruttamento nel mondo reale.
