CISA ha inserito CVE-2026-96951 nel catalogo delle vulnerabilità sfruttate attivamente. Le agenzie federali interessate devono correggere entro il 16 ottobre; l'attacco richiede l'interazione dell'utente.
Un file scaricato da internet può portare con sé un contrassegno che dovrebbe far scattare le cautele di Windows. Il 13 ottobre 2026 CISA ha aggiunto CVE-2026-96951 al catalogo Known Exploited Vulnerabilities e ha fissato al 16 ottobre la scadenza per correggere i sistemi delle agenzie federali civili statunitensi interessate. Microsoft aveva già confermato attacchi in corso: la falla è uno zero-day, ora corretto con gli aggiornamenti di sicurezza di ottobre. Il Canadian Centre for Cyber Security ha riportato la conferma dello sfruttamento attivo nel suo avviso di ottobre.
Il difetto interessa Windows Shell e permette di aggirare Mark of the Web (MOTW), il contrassegno applicato ai file provenienti da internet o da altre fonti non attendibili. La vulnerabilità ha un punteggio CVSS 3.1 di 8.8. L'attacco può partire da remoto, senza privilegi preliminari, ma la vittima deve interagire con un file preparato ad hoc. Il record CVE lo classifica come command injection, CWE-77, con vettore AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Il punteggio indica un impatto potenziale elevato sulla riservatezza. Anche integrità e disponibilità possono subire un impatto alto; non è però prevista un'esecuzione automatica senza intervento dell'utente. La descrizione tecnica è nella scheda CVE ufficiale.
Come può avvenire l'attacco
L'aggressore può inviare il file via email o con un servizio di messaggistica, poi convincere la vittima ad aprirlo. In alternativa, può attirarla su un sito sotto il proprio controllo e persuaderla a scaricare e visualizzare contenuti dannosi. Il file non si apre da solo: lo scenario descritto richiede ingegneria sociale.
MOTW avvisa Windows e le applicazioni che un file proviene da un contesto potenzialmente rischioso. In base a quel contrassegno possono comparire avvisi o attivarsi restrizioni, tra cui Protected View. Se il contrassegno viene eluso, queste difese possono indebolirsi e facilitare l'esecuzione successiva di contenuti malevoli. L'esito dipende dal file e dalla catena d'attacco.
Microsoft classifica la vulnerabilità come CWE-77, Command Injection, e le assegna il vettore AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. La valutazione descrive un attacco di rete, a bassa complessità e senza privilegi, che richiede l'interazione dell'utente. L'impatto potenziale su riservatezza, integrità e disponibilità è alto.
Sistemi interessati e rilevamento
Il record CVE include Windows 10 e diverse versioni di Windows 11. Comprende anche Windows Server dalla versione 2012 R2 fino a Server 2025. Outlook.com è indicato come interessato prima della correzione lato servizio. Tra gli esempi di build aggiornate figurano Windows 11 23H2 build 22631.7652 e Windows 11 24H2 build 26100.9711. Sono indicate anche Windows 11 25H2 build 26200.9711 e Windows Server 2025 build 26100.33650. Le branche server coinvolte comprendono Windows Server 2016 e 2019. È interessato anche Windows Server 2022. Per Windows 10 1607 e Windows Server 2016, nel contesto della correzione di ottobre, è riportata la build 10.0.14393.9612. Gli amministratori possono verificare la versione corretta nella Security Update Guide di Microsoft e tramite Windows Update, controllando il numero di build e gli aggiornamenti cumulativi installati.
Per individuare possibili tentativi, i team di sicurezza possono mettere in relazione gli eventi di consegna dei file con i processi avviati subito dopo. Vanno controllate le attività insolite generate da Esplora file o da applicazioni per documenti. Anche l'avvio di interpreti di script da contenuti scaricati può essere un segnale, così come l'esecuzione anomala da cartelle temporanee o scrivibili dall'utente. I dati dei gateway email e dei browser possono aiutare a ricostruire la sequenza. A questi si possono affiancare quelli di PowerShell e degli strumenti endpoint.
Microsoft non ha identificato i responsabili né le organizzazioni colpite, e non ha descritto la catena d'attacco osservata. Ha attribuito la segnalazione a Riku Bamba e Yuya Chudo di Fujitsu. Tra i segnalatori figurano anche Benoit Sevens, con Claude di Anthropic, e il ricercatore yhw. Microsoft non ha comunicato la data esatta della scoperta. Al momento della stesura non risultano pubblici né un PoC né indicatori specifici: non sono stati diffusi hash o domini legati agli attacchi, né indirizzi IP.
La patch è inclusa negli aggiornamenti Microsoft del 13 ottobre 2026. Lo sfruttamento è confermato: le organizzazioni dovrebbero aggiornare subito gli endpoint e i server supportati. Il controllo delle applicazioni e il filtraggio degli allegati possono aggiungere un livello di difesa. Le protezioni endpoint offrono un'ulteriore misura, ma MOTW e la sensibilizzazione degli utenti non bastano a proteggere sistemi non aggiornati.
Secondo SecurityWeek, il pacchetto di ottobre ha corretto 1.413 vulnerabilità. La testata ha indicato CVE-2026-96951 tra i problemi Windows più rilevanti per lo sfruttamento attivo e l'elusione di MOTW. Il punteggio CVSS elevato e l'inserimento nel catalogo KEV rendono prioritario applicare l'aggiornamento. La valutazione, da sola, non misura la diffusione degli attacchi.
Chi rileva attività sospette dovrebbe isolare i dispositivi coinvolti, verificare l'esecuzione di payload e la persistenza, quindi controllare le credenziali accessibili dall'account interessato. Per un precedente esempio di strumento AI usato in una campagna ransomware, QWERTYmag ha ricostruito un caso distinto.
Per supportare l'analisi, SOC Prime propone la propria AI-Native Detection Intelligence Platform e Prime Architect. Gli strumenti servono a ricercare minacce e ad adattare le regole di rilevamento alla telemetria aziendale. La scadenza fissata da CISA per le agenzie federali civili interessate è il 16 ottobre 2026. L'inserimento nel catalogo KEV segnala alle agenzie federali la necessità di dare priorità alla correzione. Per le altre organizzazioni è un indicatore concreto di rischio e urgenza, non una scadenza normativa direttamente applicabile.
