Una vulnerabilità di Windows corretta da Microsoft a novembre 2025 è oggi considerata un rischio concreto anche per le aziende: secondo CISA, la falla nel componente Windows Task Host viene sfruttata non solo in attacchi mirati, ma anche da gruppi ransomware. Per una PMI questo significa una cosa semplice: se un PC o un server non è aggiornato, un attaccante che ha già messo piede nella rete con credenziali valide o con un accesso limitato può alzare rapidamente i privilegi e prendere il controllo completo del sistema.
Il punto non è solo la singola falla. Il dato più importante è che questo tipo di vulnerabilità entra ormai stabilmente nella catena d’attacco dei ransomware, cioè nel passaggio che trasforma un accesso iniziale “piccolo” in un blocco operativo molto più grave.
Cosa è successo
Il 18 agosto 2026 BleepingComputer ha riportato che la U.S. Cybersecurity and Infrastructure Security Agency, la CISA, ha confermato l’uso della vulnerabilità CVE-2025-60710 anche da parte di gruppi ransomware.
La falla riguarda Windows Task Host, un componente di sistema di Windows che gestisce l’esecuzione in background di processi basati su DLL e aiuta il sistema a chiuderli correttamente, per esempio durante lo spegnimento, evitando corruzione dei dati.
Secondo le informazioni pubbliche citate dalla fonte:
- la vulnerabilità è stata corretta da Microsoft a novembre 2025;
- interessa Windows 11 e Windows Server 2025;
- consente una elevazione dei privilegi;
- dopo lo sfruttamento, un attaccante locale con permessi utente di base può ottenere privilegi SYSTEM, cioè il massimo livello di controllo sul dispositivo.
CISA aveva già inserito la vulnerabilità nel proprio Known Exploited Vulnerabilities Catalog il 13 aprile 2026, classificandola come attivamente sfruttata. Ora l’aggiornamento è più preoccupante: la stessa falla risulta impiegata anche in campagne ransomware.
Al momento, sempre secondo la fonte, CISA non ha diffuso dettagli tecnici sugli attacchi in corso e Microsoft non aveva ancora aggiornato il proprio advisory per confermare formalmente lo sfruttamento “in the wild”. Ma il messaggio operativo è già chiaro: la vulnerabilità non va trattata come un rischio teorico.
Perché questa falla è importante anche se richiede un accesso iniziale
A prima vista, qualcuno potrebbe sottovalutare la notizia: non si tratta di una falla che da sola espone un computer su Internet. Per essere sfruttata, l’attaccante deve già avere un accesso locale o comunque disporre di credenziali e permessi minimi.
È proprio questo, però, il motivo per cui la vulnerabilità è preziosa per i gruppi ransomware.
Nella pratica, molti attacchi non iniziano con una “super falla” devastante. Iniziano invece con:
- una password rubata;
- un accesso RDP esposto male;
- un allegato malevolo aperto da un utente;
- un account compromesso tramite phishing;
- una postazione già infettata da malware iniziale.
Una volta dentro, i criminali devono fare un salto di qualità: ottenere privilegi più alti, muoversi lateralmente, disabilitare difese, distribuire strumenti e preparare la cifratura. Una vulnerabilità di privilege escalation come CVE-2025-60710 serve esattamente a questo.
In altre parole, non è la porta d’ingresso principale: è il grimaldello che apre tutte le porte interne.
Il contesto: perché CISA lancia l’allarme
CISA ha accompagnato l’avviso con una frase molto netta: questo tipo di vulnerabilità è un vettore d’attacco frequente per gli attori malevoli e comporta rischi significativi.
La stessa fonte ricorda anche due numeri utili per capire il contesto:
- da novembre 2021, CISA ha segnalato 383 vulnerabilità attivamente sfruttate in prodotti Microsoft;
- di queste, 112 sono state sfruttate anche in attacchi ransomware.
C’è poi un altro elemento importante, citato nell’articolo: quando gli attaccanti dispongono di credenziali valide, l’efficacia delle misure preventive cala drasticamente. È un punto che molte aziende trascurano. Antivirus, filtri email e firewall restano indispensabili, ma non bastano se l’attaccante entra con un account apparentemente legittimo e poi sfrutta una falla locale per diventare amministratore del sistema.
Per questo il patching non è un tema “tecnico” separato dalla sicurezza: è uno dei controlli fondamentali per interrompere l’escalation dopo l’accesso iniziale.
Chi è esposto davvero
Le organizzazioni più a rischio sono quelle che hanno una o più di queste condizioni:
- PC Windows 11 non aggiornati da mesi;
- server Windows Server 2025 gestiti senza una routine rigorosa di aggiornamento;
- utenti con privilegi locali eccessivi;
- software di sicurezza installato ma senza monitoraggio reale degli eventi;
- accessi remoti e credenziali non protetti da controlli aggiuntivi;
- inventario IT incompleto, con macchine “fuori radar”.
Il problema tipico nelle PMI non è quasi mai la mancanza totale di strumenti. È la mancanza di continuità: alcune macchine sono aggiornate, altre no; alcuni portatili remoti sfuggono al controllo; alcuni server non vengono riavviati per applicare patch critiche; alcuni utenti mantengono privilegi che non servono più.
Ed è proprio in queste zone grigie che le vulnerabilità diventano incidenti.
Cosa significa per la tua azienda
Se usi Windows 11 o Windows Server 2025, la priorità è verificare subito che la patch rilasciata da Microsoft a novembre 2025 sia stata realmente applicata su tutti i sistemi interessati. Non basta dare per scontato che “Windows si aggiorna da solo”. In molte aziende non è così, soprattutto su server, PC fuori sede o macchine con policy particolari.
Ecco le azioni pratiche da fare subito.
1. Controlla l’inventario dei sistemi interessati
Devi sapere con precisione quanti PC Windows 11 e quanti server Windows Server 2025 sono attivi in azienda. Se non hai un inventario aggiornato, questo è già un problema di sicurezza oltre che gestionale.
2. Verifica lo stato delle patch, non solo la loro approvazione
Serve una verifica effettiva: la correzione è stata distribuita? installata? il sistema è stato riavviato? ci sono macchine offline da settimane? In molti incidenti, la patch “era disponibile” ma non realmente applicata.
3. Riduci i privilegi locali
La falla consente di passare da utente base a SYSTEM. Meno utenti hanno permessi superflui, meno semplice diventa la catena d’attacco. Rimuovere i diritti amministrativi dove non sono indispensabili riduce il rischio operativo.
4. Controlla gli accessi iniziali
Se il problema è l’escalation dopo un accesso limitato, allora va protetto anche l’ingresso: password robuste, MFA dove possibile, RDP non esposto direttamente, attenzione agli account condivisi e agli utenti inattivi.
5. Presidia i segnali deboli
Un ransomware raramente esplode all’improvviso. Prima ci sono accessi anomali, esecuzioni insolite, strumenti amministrativi usati fuori contesto, tentativi di movimento laterale. Se non c’è monitoraggio, questi segnali passano inosservati.
6. Prepara il piano B: backup e ripristino
Anche con patching e difese attive, il rischio zero non esiste. Backup separati, verificati e ripristinabili restano essenziali. In una PMI, la differenza tra un disagio serio e settimane di fermo può stare tutta qui. Se vuoi rafforzare questo aspetto, ha senso valutare una soluzione di remote backup.
7. Formalizza la gestione continuativa
Il vero punto non è risolvere l’urgenza di oggi e dimenticarsene domani. Patching, controllo endpoint, inventario, policy utente e risposta agli incidenti devono essere gestiti come processo. Per molte aziende questo significa affidarsi a un servizio continuativo di desktop IT management o a un contratto di assistenza informatica che includa verifiche periodiche e tempi certi di intervento.
Non è solo un tema tecnico: è continuità operativa
Quando una vulnerabilità entra nel radar dei gruppi ransomware, smette di essere un dettaglio per sistemisti e diventa un tema di continuità aziendale.
Un’infezione riuscita può significare:
- blocco dei PC degli utenti;
- indisponibilità di file condivisi e gestionali;
- fermo amministrativo e commerciale;
- costi di ripristino imprevisti;
- danni reputazionali verso clienti e fornitori;
- possibili implicazioni sulla protezione dei dati, se l’incidente coinvolge dati personali.
Il responsabile d’ufficio o l’imprenditore non deve conoscere il funzionamento interno di Task Host. Deve però sapere che esiste un nesso diretto tra aggiornamenti trascurati e rischio di fermo aziendale.
La lezione più importante
La notizia di CISA conferma una tendenza ormai consolidata: i gruppi ransomware non si limitano a cercare falle clamorose da remoto. Sfruttano con grande efficacia anche vulnerabilità “intermedie”, quelle che trasformano un accesso modesto in un controllo totale del sistema.
Per questo le aziende dovrebbero smettere di ragionare per emergenze isolate e iniziare a valutare la sicurezza come una catena: accessi, aggiornamenti, privilegi, backup, monitoraggio e capacità di risposta. Se un solo anello resta debole, l’intera organizzazione diventa più vulnerabile.
Nel caso di CVE-2025-60710, il consiglio più concreto è anche il più semplice: verificare subito lo stato delle patch sui sistemi Windows interessati e controllare che non ci siano endpoint fuori gestione. È un’attività molto meno costosa di qualunque ripristino dopo un attacco ransomware.
Domande frequenti
Questa vulnerabilità permette di entrare da Internet in un PC aziendale?
No, dalle informazioni pubbliche citate non risulta una falla di accesso remoto diretto. È una vulnerabilità di elevazione dei privilegi: serve soprattutto dopo un accesso iniziale già ottenuto.
Se abbiamo l’antivirus, siamo protetti?
Non necessariamente. Se un attaccante usa credenziali valide o ottiene un accesso limitato, una falla locale può aiutarlo a prendere il controllo del sistema. Antivirus e patching devono lavorare insieme.
Cosa dovremmo fare oggi stesso?
Verificare quali sistemi usano Windows 11 o Windows Server 2025, controllare che la patch rilasciata a novembre 2025 sia installata e assicurarsi che backup e monitoraggio siano realmente operativi.