L'ultima patch di Microsoft Defender che aggira il problema evidenzia una problematica già nota.
Una vulnerabilità di Microsoft Defender recentemente scoperta, denominata ShieldBreak, dimostra che correggere una singola via d'attacco non sempre risolve tutte le altre, portando allo stesso risultato.
Microsoft ha assegnato a ShieldBreak l'identificativo CVE-2026-69414 e ha confermato che si tratta di una vulnerabilità di elevazione dei privilegi (EoP) nel Microsoft Malware Protection Engine. Microsoft afferma di essere ancora al lavoro su un aggiornamento di sicurezza.
Se la cosa vi suona familiare, probabilmente state pensando a RoguePlanet , un'altra vulnerabilità di Defender che Microsoft ha riconosciuto il 16 giugno e corretto l'8 luglio.
Una breve cronologia
All'epoca, l'exploit pubblicato per RoguePlanet veniva descritto come dipendente da una condizione di gara (race condition), il che significava che non era garantito che funzionasse allo stesso modo su ogni macchina. Questo era uno dei motivi per cui la vulnerabilità era preoccupante, ma rimaneva comunque in qualche modo limitata da un punto di vista pratico.
La patch di sicurezza rilasciata da Microsoft a luglio avrebbe dovuto risolvere definitivamente il problema. Tuttavia, le patch di sicurezza non sempre eliminano la vulnerabilità alla radice. A volte bloccano un percorso di attacco noto, mentre in seguito un ricercatore ne trova un altro per raggiungere lo stesso risultato.
Sembra proprio che sia questo ciò che è successo. ShieldBreak è stato descritto come una patch per aggirare la precedente correzione di RoguePlanet, poiché a quanto pare elude il metodo di sfruttamento della vulnerabilità anziché limitarsi a ripetere l'attacco originale.
Ad agosto, lo stesso ricercatore ha rivelato ShieldBreak e Microsoft ha risposto pubblicando un nuovo avviso di sicurezza per CVE-2026-69414 .
L'avviso afferma che il problema è stato reso pubblico, esiste un codice di exploit proof-of-concept (PoC), lo sfruttamento è considerato più probabile e non è ancora disponibile una soluzione ufficiale. Microsoft afferma di star lavorando a una soluzione.
Come stare al sicuro
Fino a quando Microsoft non rilascerà una soluzione, la protezione più importante consiste nell'impedire fin dall'inizio l'esecuzione di codice non attendibile sul computer. ShieldBreak è una vulnerabilità di escalation dei privilegi locali, quindi un utente malintenzionato ha bisogno di un certo livello di accesso alla macchina.
Stando alle informazioni pubbliche attualmente disponibili , ShieldBreak sembra richiedere l'attivazione di Microsoft Defender per funzionare. I test pubblici indicano che l'exploit non ha successo quando Defender è disattivato o quando è registrato un altro prodotto come antivirus attivo.
In termini molto specifici, disabilitare Defender sembra impedire il funzionamento di questa particolare catena di attacchi ShieldBreak. Tuttavia, questa non è una buona raccomandazione di sicurezza per la maggior parte degli utenti. Disattivare l'antivirus rimuove un importante livello di protezione e potrebbe esporre il computer ad altri attacchi.
Per gli utenti domestici, tutto ciò significa:
- Installa gli aggiornamenti di sicurezza di Microsoft non appena sono disponibili.
- Fate molta attenzione ai download, agli allegati e-mail, ai software pirata e agli strumenti di "riparazione" provenienti da siti web sconosciuti.
- Conserva le copie di backup dei file importanti in un luogo non direttamente collegato al PC.
- Utilizza una soluzione antimalware aggiornata e in tempo reale per essere avvisato e rimuovere le minacce dal tuo computer.
“Una delle migliori suite di sicurezza informatica al mondo.”
Secondo CNET.Leggi la loro recensione →
