Windows Shell CVE-2026-96951: injecție de comenzi exploatată

📌 Evoluții ulterioare: Patch Tuesday octombrie 2026: peste 1.400 de vulnerabilități (13 octombrie 2026)

Pe 13 octombrie 2026, CISA a adăugat în catalogul Known Exploited Vulnerabilities (KEV) CVE-2026-96951, o vulnerabilitate de tip injecție de comenzi în Windows Shell, componenta Microsoft Windows care gestionează interfața grafică și deschiderea fișierelor și a scurtăturilor. Microsoft a publicat fișa în aceeași zi, a doua zi de marți a lunii, când apar actualizările lunare ale Windows. Microsoft o evaluează ca ridicată: CVSS 3.1 8.8.

Includerea în catalogul KEV arată că CISA are dovezi de exploatare activă. Termenul stabilit pentru agențiile federale americane este 16 octombrie 2026: trei zile.

Ce s-a întâmplat

CISA a inclus vulnerabilitatea în KEV cu descrierea „Microsoft Windows Command Injection Vulnerability”. În catalog, folosirea în campanii ransomware este indicată ca „necunoscută”. Avizul cere aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, în acord cu directiva BOD 26-04 privind prioritizarea actualizărilor în funcție de risc și cu cerințele CISA de triaj criminalistic; pentru serviciile cloud se aplică indicațiile aceleiași directive, iar dacă nu există măsuri de atenuare, produsul trebuie scos din uz. Avizul cere și evaluarea expunerii la Internet a fiecărui sistem.

În aceeași zi, NCSC-NL, centrul național de securitate cibernetică al Țărilor de Jos, a publicat avizul NCSC-2026-0423 despre vulnerabilitățile corectate în Microsoft Windows, cu clasificarea M/H (probabilitate medie, impact ridicat). Textul avizului olandez nu era disponibil în momentul redactării: nu putem spune dacă și cum tratează CVE-2026-96951, nici câte vulnerabilități enumeră.

Sursele nu oferă detalii despre atacurile observate, autori sau victime.

Detalii tehnice

• CVE: CVE-2026-96951, publicată pe 13 octombrie 2026. În momentul redactării, fișa NVD este „în analiză”: NIST nu a publicat încă o evaluare proprie.
• Produs: Microsoft Windows, componenta Windows Shell. Sursele disponibile nu indică versiunile de Windows afectate și nici actualizările care o corectează: acestea se găsesc în ghidul actualizărilor de securitate Microsoft (MSRC), la care trimite fișa NVD.
• Mecanism: conform descrierii, neutralizarea necorespunzătoare a elementelor speciale folosite într-o comandă (command injection) în Windows Shell permite unui atacator neautorizat să ocolească o funcție de securitate prin rețea. Sursele nu spun ce funcție de securitate este ocolită.
• Gravitate: CVSS 3.1 8.8 (ridicată), AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H, evaluare Microsoft. Vectorul indică un atac prin rețea, de complexitate redusă, fără privilegii, dar cu interacțiunea utilizatorului, și un impact ridicat asupra confidențialității, integrității și disponibilității. Tipul de interacțiune necesar (deschiderea unui fișier, a unei scurtături, a unei pagini) nu este descris.
• Slăbiciune: CWE-77 (neutralizarea necorespunzătoare a elementelor speciale folosite într-o comandă).
• Indicatori: sursele nu conțin indicatori de compromitere publici.
• MITRE ATT&CK: sursele nu descriu lanțul de atac. Cerința de interacțiune a utilizatorului corespunde, în general, tehnicii T1204 (User Execution); este o clasificare a noastră, nu a avizului.

Impactul pentru companiile europene și italiene

Windows Shell este prezent practic pe fiecare stație de lucru Windows, iar stațiile de lucru sunt locul în care interacțiunea unui utilizator este cea mai probabilă: de aceea suprafața potențială este largă, chiar dacă exploatarea necesită o acțiune a victimei. Sursele nu spun ce sectoare sau țări au fost afectate, nici dacă atacurile sunt țintite sau la scară largă.

Pentru entitățile care intră sub incidența NIS2, vulnerabilitatea ține de gestionarea vulnerabilităților prevăzută de măsurile de securitate: o CVE exploatată, cu un termen de trei zile pentru agențiile americane, este un bun reper pentru stabilirea priorității interne. Un incident semnificativ trebuie notificat CSIRT-ului național, care în Italia este CSIRT Italia din cadrul ACN, iar în România este DNSC. În sănătate, unde stațiile de lucru accesează date medicale și adesea sisteme clinice, actualizarea stațiilor trebuie planificată fără a aștepta ciclul obișnuit, ținând cont de stațiile conectate la dispozitive medicale care necesită validarea producătorului.

Ce să faci acum

1. Verifică lista oficială: consultă fișa CVE-2026-96951 în ghidul actualizărilor de securitate Microsoft pentru versiunile afectate și actualizările de instalat.
2. Actualizează cu prioritate: distribuie actualizările de securitate Windows din octombrie 2026, începând cu stațiile utilizatorilor și cu serverele pe care utilizatorii lucrează interactiv (de exemplu, serverele de desktop la distanță).
3. Verifică instalarea: confirmă din instrumentele de gestionare a actualizărilor că mașinile au primit efectiv pachetul, inclusiv cele aflate în afara biroului sau oprite în zilele lansării.
4. Dacă nu poți actualiza imediat: aplică măsurile de atenuare indicate de Microsoft în fișa vulnerabilității, așa cum cere CISA.
5. Detectează: în lipsa indicatorilor publici, verifică în instrumentele de protecție a endpoint-urilor procesele de linie de comandă pornite neobișnuit de shell-ul Windows și alertele privind funcțiile de securitate ale sistemului dezactivate sau ocolite.
6. Informează utilizatorii: exploatarea necesită o acțiune a utilizatorului; amintește-le să nu deschidă fișiere și linkuri neașteptate, chiar dacă vin de la contacte cunoscute.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet și le scoate în evidență pe cele deja exploatate de atacatori, precum CVE-urile din catalogul KEV, împreună cu mașinile deconectate care au vulnerabilități critice; dacă o stație de lucru este suspectă, îți permite să o izolezi de rețea. ARX Sentry colectează loguri și evenimente de pe computere și servere, iar ARX Horizon îmbogățește fiecare eveniment cu informații despre amenințări și vulnerabilități.

Ultima actualizare: 13 octombrie 2026