Windows Shell CVE-2026-96951: command injection sfruttata

📌 Sviluppi successivi: Patch Tuesday di ottobre 2026: oltre 1.400 falle e le priorità (13 ottobre 2026)

Il 13 ottobre 2026 la CISA ha aggiunto al catalogo Known Exploited Vulnerabilities (KEV) la CVE-2026-96951, una vulnerabilità di command injection in Windows Shell, il componente di Microsoft Windows che gestisce l’interfaccia grafica e l’apertura di file e collegamenti. La scheda è stata pubblicata da Microsoft lo stesso giorno, il secondo martedì del mese, quando escono gli aggiornamenti mensili di Windows. Microsoft la valuta alta: CVSS 3.1 8.8.

L’ingresso nel catalogo KEV indica che la CISA ha prove di sfruttamento attivo. La scadenza fissata per le agenzie federali statunitensi è il 16 ottobre 2026: tre giorni.

Cosa è successo

La CISA ha inserito la vulnerabilità nel KEV con la descrizione “Microsoft Windows Command Injection Vulnerability”. Nel catalogo l’uso in campagne ransomware è indicato come “sconosciuto”. L’avviso chiede di applicare le mitigazioni secondo le istruzioni del produttore, nel rispetto della direttiva BOD 26-04 sulla priorità degli aggiornamenti in base al rischio e dei requisiti di triage forense della CISA; per i servizi cloud valgono le indicazioni della stessa direttiva e, se le mitigazioni non sono disponibili, il prodotto va dismesso. Chiede anche di valutare l’esposizione su Internet di ogni sistema.

Lo stesso giorno il NCSC-NL, il centro nazionale per la cybersicurezza dei Paesi Bassi, ha pubblicato l’avviso NCSC-2026-0423 sulle vulnerabilità corrette in Microsoft Windows, con classificazione M/H (probabilità media, impatto alto). Il testo dell’avviso olandese non era disponibile al momento della stesura: non possiamo dire se e come tratti la CVE-2026-96951, né quante vulnerabilità elenchi.

Le fonti non forniscono dettagli sugli attacchi osservati, sugli autori o sulle vittime.

Dettagli tecnici

• CVE: CVE-2026-96951, pubblicata il 13 ottobre 2026. Al momento della stesura la scheda NVD è “in analisi”: il NIST non ha ancora dato una valutazione propria.
• Prodotto: Microsoft Windows, componente Windows Shell. Le fonti disponibili non indicano le versioni di Windows colpite né gli aggiornamenti correttivi: l’elenco è nella guida agli aggiornamenti di sicurezza di Microsoft (MSRC), a cui rimanda la scheda NVD.
• Meccanismo: secondo la descrizione, la neutralizzazione impropria di elementi speciali usati in un comando (command injection) in Windows Shell permette a un attaccante non autorizzato di aggirare una funzione di sicurezza attraverso la rete. Le fonti non dicono quale funzione di sicurezza venga aggirata.
• Gravità: CVSS 3.1 8.8 (alta), AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H, valutazione di Microsoft. Il vettore indica un attacco via rete, di bassa complessità, senza privilegi, ma con l’interazione dell’utente, e un impatto alto su riservatezza, integrità e disponibilità. Il tipo di interazione richiesta (aprire un file, un collegamento, una pagina) non è descritto.
• Debolezza: CWE-77 (neutralizzazione impropria di elementi speciali usati in un comando).
• Indicatori: nessun indicatore di compromissione pubblico nelle fonti.
• MITRE ATT&CK: le fonti non descrivono la catena d’attacco. Il requisito di interazione dell’utente corrisponde in generale alla tecnica T1204 (User Execution); è una nostra classificazione, non dell’avviso.

Impatto per le aziende europee e italiane

Windows Shell è presente su praticamente ogni postazione Windows, e le postazioni sono il punto in cui l’interazione di un utente è più probabile: per questo la superficie potenziale è ampia anche se lo sfruttamento richiede un’azione della vittima. Le fonti non dicono quali settori o paesi siano stati colpiti, né se gli attacchi siano mirati o su larga scala.

Per i soggetti NIS2 la vulnerabilità rientra nella gestione delle vulnerabilità prevista dalle misure di sicurezza: una CVE sfruttata, con una scadenza di tre giorni per le agenzie statunitensi, è un buon riferimento per stabilire la priorità interna. Un incidente significativo va notificato al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Nella sanità, dove le postazioni accedono a dati sulla salute e spesso a sistemi clinici, l’aggiornamento delle postazioni va pianificato senza attendere il ciclo ordinario, tenendo conto delle postazioni collegate a dispositivi medici che richiedono la validazione del fornitore.

Cosa fare subito

1. Verifica l’elenco ufficiale: consulta la scheda della CVE-2026-96951 nella guida agli aggiornamenti di sicurezza di Microsoft per le versioni colpite e gli aggiornamenti da installare.
2. Aggiorna con priorità: distribuisci gli aggiornamenti di sicurezza di ottobre 2026 di Windows, partendo dalle postazioni degli utenti e dai server su cui gli utenti lavorano in modo interattivo (per esempio i server di desktop remoto).
3. Controlla l’installazione: verifica dai sistemi di gestione degli aggiornamenti che le macchine abbiano davvero ricevuto il pacchetto, comprese quelle fuori sede o spente nei giorni del rilascio.
4. Se non puoi aggiornare subito: applica le mitigazioni indicate da Microsoft nella scheda della vulnerabilità, come chiede la CISA.
5. Rileva: in assenza di indicatori pubblici, controlla negli strumenti di protezione degli endpoint i processi da riga di comando avviati in modo insolito dalla shell di Windows e gli avvisi delle funzioni di sicurezza del sistema che risultano disattivati o aggirati.
6. Sensibilizza gli utenti: lo sfruttamento richiede un’azione dell’utente; ricorda di non aprire file e collegamenti inattesi, anche se arrivano da contatti noti.

Come aiuta ARXDOME

ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto e mette in evidenza quelle già sfruttate dagli attaccanti, come le CVE del catalogo KEV, insieme alle macchine scollegate con vulnerabilità critiche; se una postazione è sospetta, permette di isolarla dalla rete. ARX Sentry raccoglie log ed eventi da computer e server, e ARX Horizon arricchisce ogni evento con le informazioni sulle minacce e sulle vulnerabilità.

Ultimo aggiornamento: 13 ottobre 2026