Microsoft ha rilasciato ad agosto 2026 un importante pacchetto di aggiornamenti di sicurezza per Windows, includendo una falla già sfruttata in attacchi reali e altre vulnerabilità molto gravi lato server. Nello stesso momento, un ricercatore ha pubblicato un proof-of-concept chiamato ShieldBreak che, secondo le verifiche riportate dalle fonti, aggirerebbe una patch recente di Microsoft Defender e potrebbe portare a privilegi di tipo SYSTEM. Per un’azienda, il messaggio è semplice: aggiornare subito resta indispensabile, ma non basta più contare solo sull’antivirus integrato o sul “Patch Tuesday” per sentirsi al sicuro.
Cosa è successo davvero ad agosto 2026
L’11 agosto 2026 Microsoft ha distribuito gli aggiornamenti mensili di sicurezza, con un volume molto elevato di correzioni. Una delle fonti parla di 398 nuove CVE censite da Zero Day Initiative, mentre un’altra richiama 421 falle complessive corrette dal produttore, di cui 236 in Windows. Al di là della differenza di conteggio tra fonti e criteri di classificazione, il dato che conta per le aziende è che si tratta di un rilascio particolarmente rilevante.
La vulnerabilità più urgente è CVE-2026-68820, con punteggio CVSS 7.0, che interessa il driver Windows Ancillary Function Driver for WinSock, noto come AFD.sys. Microsoft l’ha indicata come già sfruttata attivamente. In pratica, se un attaccante è già riuscito a eseguire codice su un PC o server Windows, questa falla può aiutarlo a ottenere privilegi SYSTEM, cioè il massimo livello di controllo locale sul sistema.
Nello stesso contesto, il 12 agosto 2026 è emersa un’altra notizia delicata: il ricercatore Chaotic Eclipse ha pubblicato un PoC per una nuova presunta zero-day chiamata ShieldBreak. Secondo quanto riportato, ShieldBreak rappresenterebbe un bypass della patch distribuita da Microsoft per CVE-2026-50656, una vulnerabilità già nota come RoguePlanet, classificata con CVSS 7.8. Anche qui l’obiettivo finale sarebbe l’escalation a privilegi SYSTEM.
Microsoft ha dichiarato di essere a conoscenza della segnalazione su ShieldBreak e di stare verificando validità e impatto delle affermazioni.
Perché SYSTEM è la parola da tenere d’occhio
Quando una vulnerabilità consente di ottenere privilegi SYSTEM, il rischio non è teorico. Significa che un malware o un aggressore può passare da un accesso limitato al pieno controllo della macchina: eseguire codice arbitrario, modificare file di sistema, installare persistenza, disattivare o aggirare controlli di sicurezza e muoversi con più facilità all’interno dell’infrastruttura.
Per una PMI questo ha conseguenze molto concrete:
- un PC compromesso può diventare la porta d’ingresso per il server file o l’ERP;
- un ransomware può ottenere più rapidamente permessi elevati;
- i sistemi di difesa installati sul dispositivo possono essere disattivati o elusi;
- l’incidente può trasformarsi da problema locale a fermo operativo aziendale.
In altre parole, non stiamo parlando solo di “bug di Windows”, ma di vulnerabilità che incidono direttamente sulla continuità del business.
ShieldBreak e RoguePlanet: perché il caso Defender preoccupa
RoguePlanet, divulgata inizialmente a giugno 2026 e corretta da Microsoft quasi un mese dopo, è stata descritta come una race condition nel motore di protezione malware di Microsoft, mpengine.dll. L’exploit permetterebbe di arrivare a una shell con privilegi SYSTEM.
ShieldBreak, secondo il ricercatore che l’ha pubblicata, non sarebbe una variante marginale, ma un bypass completo della correzione applicata da Microsoft a CVE-2026-50656. Le fonti riportano che il PoC sarebbe stato testato su Windows 11 25H2, incluso il canale Canary, e su Windows Server 2025, con successo costante nei test dichiarati dal ricercatore. Viene inoltre indicato che anche Windows 10 e le relative edizioni server sarebbero vulnerabili, pur non essendo supportate dall’attuale PoC.
Un aspetto interessante è che vari analisti citati nelle fonti ritengono ShieldBreak tecnicamente diverso da RoguePlanet. Kevin Beaumont segnala che i due exploit non funzionano allo stesso modo. Will Dormann ha inoltre validato il comportamento osservando che, per funzionare, l’exploit richiede Defender attivo.
Questo punto è importante per chi gestisce un parco macchine aziendale: un problema che coinvolge direttamente il componente di protezione integrato cambia il modo in cui si valuta il rischio. Non significa che Defender vada rimosso, ma che la sola presenza di Defender non può essere considerata una garanzia sufficiente se emergono tecniche di abuso che ne sfruttano i meccanismi interni.
La falla già sfruttata: Lazarus e CVE-2026-68820
La notizia più operativa, però, è un’altra: CVE-2026-68820 non è solo una vulnerabilità teorica. Secondo Check Point Research, è stata sfruttata dal gruppo Lazarus, collegato alla Corea del Nord, in una campagna rivolta a organizzazioni del settore difesa e aerospazio in Francia, Germania, Brasile e India.
L’operazione è collegata alla campagna Dream Job, nota da anni per l’uso di finti recruiter e offerte di lavoro credibili. Le vittime vengono convinte ad aprire documenti o installare software apparentemente legittimo, in questo caso anche un visualizzatore PDF trojanizzato. Una volta ottenuto un primo accesso, gli attaccanti sfruttano la vulnerabilità di AFD.sys per elevare i privilegi a SYSTEM e distribuire backdoor come Troy, oltre a moduli di ricognizione, cattura schermo, persistenza ed esfiltrazione.
Per una realtà italiana, il dato da leggere non è soltanto il nome di Lazarus. È il modello d’attacco: l’aggressore non entra necessariamente con una scansione di rete sofisticata, ma spesso passa da un dipendente, un allegato, un finto software utile, un contatto LinkedIn, un archivio scaricato con leggerezza.
Le altre patch critiche da non trascurare
Oltre alla vulnerabilità sfruttata attivamente, le fonti evidenziano quattro falle con punteggio CVSS 9.8 che non richiedono autenticazione né interazione dell’utente:
- CVE-2026-62878 in Windows DNS Server
- CVE-2026-62893 in Windows Deployment Services
- CVE-2026-62815 in Microsoft QUIC
- CVE-2026-59124 in HPC Pack
Non risultavano segnalate come già sfruttate al momento del rilascio, ma sono particolarmente pericolose perché possono esporre direttamente server raggiungibili in rete.
C’è poi un tema SharePoint on-premises: agosto completa la correzione della parte di esecuzione di codice remoto, CVE-2026-63520, di una catena di exploit la cui componente di bypass dell’autenticazione, CVE-2026-55040, era stata corretta a luglio. Le organizzazioni che mantengono farm SharePoint locali devono verificare di avere installato entrambe le correzioni.
Infine, la CISA ha inserito CVE-2026-68820 nel catalogo KEV, imponendo alle agenzie federali statunitensi di applicare le patch entro il 25 agosto 2026. Anche se il vincolo riguarda il settore pubblico USA, è un forte indicatore di priorità anche per le aziende private.
Cosa significa per la tua azienda
Per una PMI italiana la lezione è molto pratica: serve distinguere tra aggiornare, verificare e prepararsi a un eventuale incidente.
Primo: applica con priorità gli aggiornamenti di agosto 2026 ai sistemi Windows, partendo dai dispositivi esposti e dai server che eseguono servizi come DNS, WDS, QUIC o SharePoint on-premises. Se hai postazioni utenti che installano spesso software, aprono allegati o usano account con troppi privilegi, CVE-2026-68820 va trattata come urgente.
Secondo: controlla che l’inventario IT sia davvero aggiornato. Molte aziende non sanno con precisione quali server espongano servizi vulnerabili o quali PC siano rimasti indietro con le patch. Senza visibilità, anche una buona patch rilasciata in tempo perde efficacia. Se il presidio interno è limitato, un servizio di gestione centralizzata delle postazioni può aiutare a governare aggiornamenti, configurazioni e verifiche.
Terzo: non affidarti a un solo livello di difesa. Il caso ShieldBreak dimostra quanto sia rischioso assumere che l’antivirus nativo basti da solo. Servono controlli aggiuntivi: limitazione dei privilegi locali, monitoraggio delle attività anomale, blocco delle esecuzioni non autorizzate e revisione delle attività pianificate o dei processi che partono con privilegi elevati. Qui entra in gioco una strategia più ampia di sicurezza informatica, non il solo aggiornamento del sistema operativo.
Quarto: prepara il recupero, non solo la prevenzione. Se un attacco riesce a ottenere privilegi SYSTEM, il rischio di cifratura, sabotaggio o cancellazione dei dati cresce sensibilmente. Un piano di backup remoto ben progettato, con copie separate e verifiche di ripristino, resta una misura essenziale per ridurre il danno economico e il fermo operativo.
Quinto: forma il personale su scenari realistici. La campagna Dream Job ricorda che un finto recruiter, un PDF credibile o un tool apparentemente legittimo possono essere il primo passo verso una compromissione grave. La sensibilizzazione non va fatta con messaggi generici, ma con esempi vicini alla vita aziendale quotidiana.
Le priorità operative nelle prossime 48 ore
Se vuoi una lista rapida di azioni, questa è la sequenza più sensata:
- verifica che gli aggiornamenti di agosto 2026 siano in distribuzione;
- individua server Windows con DNS, WDS, QUIC, HPC Pack e SharePoint on-premises;
- controlla i sistemi che non ricevono patch o che sono fuori standard;
- rivedi i privilegi amministrativi locali sugli endpoint;
- monitora installazioni anomale di visualizzatori PDF, DLL sospette e task pianificati insoliti;
- verifica l’integrità e la ripristinabilità dei backup.
La priorità assoluta non è inseguire ogni dettaglio tecnico del PoC, ma ridurre subito la superficie di attacco reale in azienda.
Domande frequenti
Devo disattivare Microsoft Defender per evitare ShieldBreak?
No. Dalle fonti emerge che l’exploit richiederebbe Defender attivo, ma disattivarlo esporrebbe il sistema ad altri rischi immediati. La scelta corretta è aggiornare, monitorare e rafforzare i controlli di sicurezza.
Se ho già applicato le patch di agosto, sono al sicuro?
Hai ridotto molto il rischio, ma non in modo assoluto. Il caso ShieldBreak riguarda proprio un presunto bypass di una patch precedente, quindi servono anche monitoraggio, hardening e backup affidabili.
Questa notizia riguarda solo grandi aziende e settore difesa?
No. Gli attacchi descritti colpiscono anche tramite social engineering e software trojanizzati, tecniche che possono coinvolgere qualsiasi organizzazione, incluse PMI e studi professionali.