Microsoft Windows Shell CVE-2026-96951: zero-day che aggira Mark of the Web, file da email e chat aperti senza avvisi
Fra le oltre 1.400 vulnerabilità corrette da Microsoft nel Patch Tuesday del 13 ottobre 2026, una sola risulta sfruttata attivamente come zero-day: la CVE-2026-96951 di Windows Shell, un security feature bypass con CVSS v3.1 pari a 8.8 che permette a un attaccante non autenticato di aggirare le protezioni Mark of the Web (MOTW). Alla radice c'è un errore nella neutralizzazione degli elementi speciali usati nei comandi (CWE-77), ed è per questo che nel catalogo KEV della CISA la stessa falla compare come command injection. Lo scenario indicato da Microsoft è un file predisposto inviato per email o messaggistica istantanea, oppure un link verso un sito controllato dall'attaccante, e serve che la vittima apra il file o segua il link. A quel punto, spiega Automox, il file si presenta senza il marcatore Zone.Identifier, il flusso dati alternativo NTFS con cui Windows segna ciò che arriva da internet, e viene trattato come se fosse stato creato in locale: niente avviso SmartScreen, niente Visualizzazione protetta di Office, niente blocco delle macro nei documenti provenienti da internet, attivo di default dal 2022, niente controlli di Smart App Control su Windows 11 né richiesta di conferma di Attachment Manager. Su quel marcatore poggia buona parte delle difese contro l'allegato malevolo, e con questa falla è il marcatore stesso a sparire.
Microsoft ha rilasciato la correzione segnalando lo sfruttamento già in corso (Exploitation Detected) e nessuna divulgazione pubblica prima della patch; lo stesso 13 ottobre la CISA ha inserito la vulnerabilità nel catalogo KEV, con scadenza di remediation al 16 ottobre per le agenzie federali statunitensi, e il 14 ottobre ACN l'ha segnalata come sfruttata nel proprio alert sugli aggiornamenti mensili, aggiornato il giorno successivo. Microsoft accredita la scoperta a Riku Bamba e Yuya Chudo di Fujitsu, a Benoît Sevens con Claude di Anthropic e a un ricercatore che si firma yhw. Sugli attacchi, invece, finora non sono stati diffusi dettagli: Microsoft non ha indicato attore, vittime, tipo di file usato né indicatori di compromissione. Tenable la conta come la terza falla di Windows Shell sfruttata nel 2026, dopo la CVE-2026-21510 di febbraio e la CVE-2026-32202 di aprile, la cui correzione Microsoft ha poi ripubblicato a fine luglio per renderla più completa; se esista un legame con quei casi, per autore o per una correzione rimasta incompleta, al momento non è noto. Fra i prodotti interessati Microsoft elenca anche il servizio Outlook.com, già corretto lato server con una build di fine settembre.
Finora non risultano attacchi in Italia; la superficie esposta coincide però con l'intero parco client, perché Windows è la postazione standard della pubblica amministrazione e delle PMI e posta elettronica, PEC e piattaforme di messaggistica sono proprio i canali da cui il file può arrivare. A doversene preoccupare è chiunque gestisca postazioni Windows 10 e 11 i cui utenti ricevono file dall'esterno o server con sessioni utente interattive, come i terminal server, e più di tutti chi conta sulla Visualizzazione protetta e sul blocco delle macro come prima barriera contro il malspam; la formazione degli utenti, qui, non basta, perché l'avviso su cui dovrebbero fermarsi non compare. Un caso a parte sono le postazioni ancora su Windows 10 22H2: Microsoft distribuisce la correzione solo nel canale ESU, e quelle senza ESU restano scoperte.
Fra le altre vulnerabilità del mese ACN segnala una prova di concetto per la CVE-2026-108398 di .NET Framework (CVSS 8.8), che può consentire a un attaccante autenticato di aggirare Windows Defender Application Control, e per la CVE-2026-85884 del servizio whesvc (CVSS 7.8), un'elevazione di privilegi locale fino a SYSTEM; per l'impatto su Active Directory, pur senza sfruttamento noto, mette in evidenza anche la CVE-2026-70229 di AD DS (CVSS 8.1), che può portare all'esecuzione di codice da remoto senza autenticazione né interazione dell'utente e, su un Domain Controller, mettere a rischio l'intero dominio. Nello stesso gruppo ACN indica le CVE-2026-108131 e CVE-2026-96222 di AD FS, che possono indurre il servizio ad accettare identità falsificate. È lo stesso AD FS colpito da uno zero-day di cui avevamo scritto in un nostro precedente alert del 17 luglio.
- Versioni affette: Windows 11 23H2, 24H2, 25H2, 26H1 e 26H2; Windows 10 22H2 (correzione solo nel canale ESU), 21H2 (LTSC 2021), 1809 e 1607; Windows Server 2025, 2022, 2019 e 2016, anche in installazione Server Core, e Windows Server 2012 R2 con ESU; vulnerabili tutte le build precedenti agli aggiornamenti del 13 ottobre 2026, cioè alla 26100.9711, 26200.9711 e 26300.9711 per Windows 11 24H2, 25H2 e 26H2, alla 28000.3231 per 26H1, alla 22631.7652 per 23H2, alla 19045.7807 e 19044.7807 per Windows 10 22H2 e 21H2, alla 17763.9376 per Windows 10 1809 e Server 2019, alla 14393.9612 per Windows 10 1607 e Server 2016, alla 20348.5761 per Server 2022, alla 26100.33650 per Server 2025 e alla 6.3.9600.23470 per Server 2012 R2. Il servizio Outlook.com, anch'esso interessato, è già corretto lato server.
- Azione raccomandata: installare subito gli aggiornamenti cumulativi di ottobre su client e server, partendo dalle postazioni più esposte a posta e messaggistica (KB5127648 per Windows 11 24H2, 25H2 e 26H2, KB5127646 per 26H1, KB5126653 per 23H2, KB5126657 per Windows 10 22H2 ESU e 21H2, KB5126651 per Windows 10 1809 e Server 2019, KB5126868 per Windows 10 1607 e Server 2016, KB5126655 per Server 2022, KB5126646 per Server 2025, KB5126836 per Server 2012 R2 ESU) e verificare sulle macchine la build effettivamente installata oltre allo stato della distribuzione; per Windows 10 22H2 controllare la copertura ESU e, dove manca, aderire al programma o migrare; fino alla patch filtrare sul gateway di posta i file di collegamento (.lnk, .url) e gli archivi provenienti da mittenti esterni, applicare il controllo applicativo e le regole di riduzione della superficie d'attacco, limitare lo scambio di file con ospiti esterni sulle piattaforme di collaborazione; rivedere a ritroso allegati e download ricevuti prima dell'aggiornamento e cercare processi figli anomali di Esplora risorse o delle applicazioni Office, interpreti di script avviati da contenuti scaricati ed esecuzioni dalle cartelle temporanee o scrivibili dall'utente, per verificare se qualche postazione sia già stata compromessa.