Microsoft, sfruttata vulnerabilità zero-day in Office
Nuova vulnerabilità zero-day in Microsoft Office, tracciata come CVE-2026-21509, che risulta già sfruttata attivamente da attori malevoli in campagne di attacco mirate. Il difetto consente di bypassare alcune funzionalità di sicurezza integrate nella suite Office, permettendo l’esecuzione di codice malevolo attraverso documenti apparentemente legittimi. La criticità riguarda diverse versioni di Microsoft Office, incluse installazioni on-premise e Microsoft 365, rendendo l’esposizione potenzialmente molto ampia sia nel settore pubblico sia in quello privato.
Secondo le indicazioni diffuse, gli attacchi sfruttano soprattutto allegati Word ed Excel veicolati via email, spesso inseriti in campagne di phishing con testi credibili o riferimenti a processi lavorativi reali, con l’obiettivo di indurre l’utente ad aprire il file infetto. Una volta aperto il documento, l’exploit può aggirare alcuni meccanismi di protezione, aprendo la strada a ulteriori fasi dell’attacco, come il download di malware, il furto di credenziali o il movimento laterale nella rete aziendale.
La vulnerabilità rientra nel più ampio quadro del Patch Tuesday di febbraio 2026, in cui Microsoft ha corretto 58–59 falle di sicurezza, tra cui sei zero-day già sfruttate “in the wild”. Per CVE-2026-21509, la CISA statunitense l’ha inclusa nel catalogo delle vulnerabilità sfruttate conosciute, imponendo alle agenzie federali una rapida applicazione delle patch entro metà febbraio 2026. Questo sottolinea l’urgenza di intervenire anche per organizzazioni europee e italiane, considerate l’ampia diffusione di Office e l’elevata probabilità che gli stessi vettori di attacco vengano riutilizzati a livello globale.