Conficker e Aurora sono ancora nel KEV CISA: la superficie d'attacco legacy del 2026, in cifre

Il 20 maggio 2026 CISA ha aggiunto sette CVE al catalogo Known Exploited Vulnerabilities. Cinque sono state pubblicate fra il 2008 e il 2010. Una è MS08-067 — il bug nel Windows Server Service che è diventato Conficker. Un'altra è CVE-2010-0249 — la use-after-free di Internet Explorer alla base di Operation Aurora contro Google, Adobe, Yahoo, Juniper, Symantec, Northrop Grumman e Dow Chemical. Diciotto anni dopo la disclosure originale, entrambe producono ancora abbastanza evidenza di sfruttamento attivo nel 2026 perché CISA le rimetta nel catalogo con una nuova scadenza federale di remediation. Le due voci restanti nello stesso batch sono bug nuovissimi, di maggio 2026, in Microsoft Defender. La giustapposizione è la notizia: la superficie d'attacco worm-era e quella AI-era sono ora nella stessa pagina del KEV.

Il batch del 20 maggio 2026, per intero

L'avviso CISA elenca sette voci. Cinque sono legacy. Due sono del 2026.

CVE	Anno	Prodotto	Perché è famoso
CVE-2008-4250	2008	Windows Server service (MS08-067)	Il worm Conficker — circa 9 milioni di macchine infette entro inizio 2009, in oltre 190 paesi
CVE-2009-1537	2009	DirectShow / DirectX (quartz.dll)	NULL byte overwrite via QuickTime media file — Windows 2000/XP/Server 2003
CVE-2009-3459	2009	Adobe Acrobat & Reader	Heap-based buffer overflow, exploit chain via PDF già in-the-wild
CVE-2010-0249	2010	Internet Explorer 6/7/8	"Aurora" — la zero-day IE dietro Operation Aurora contro Google e altri
CVE-2010-0806	2010	IE 6/7 (iepeers.dll)	Use-after-free, drive-by web-page exploit, MS10-018
CVE-2026-41091	2026	Microsoft Defender	Elevation of privilege, rilasciata nel Patch Tuesday di maggio 2026
CVE-2026-45498	2026	Microsoft Defender	Denial of service

CISA non aggiunge una CVE al KEV se non ha evidenza corrente di sfruttamento. I criteri sono espliciti: "reliable evidence indicating active exploitation in the wild". Per le agenzie FCEB scatta la BOD 22-01 e con essa la deadline di remediation. La deadline non è la parte che interessa al resto del mondo — è la attestazione che conta: CISA sta mettendo per iscritto che qualcuno, da qualche parte, sta ancora colpendo questi bug e ottenendo code execution oggi.

Conficker è il canarino

MS08-067 — il bug diventato Conficker — dovrebbe essere un pezzo da museo. Microsoft rilasciò la patch in una release fuori ciclo il 23 ottobre 2008. Il worm raggiunse il picco a inizio 2009. Conficker si propagava sfruttando un RPC handler nel Windows Server Service via SMB; le propagazioni secondarie usavano dictionary attack contro le password amministrative e l'autorun da removable media. Fu il più grande evento worm dopo SQL Slammer del 2003. ~9 milioni di macchine infette in oltre 190 paesi.

In un'azienda gestita correttamente, le piattaforme colpite — Windows 2000, Windows XP, Windows Server 2003 — non dovrebbero più portare traffico di produzione nel 2026. Sono fuori supporto da 6-10+ anni a seconda della SKU. Quindi l'aggiunta di MS08-067 al KEV oggi dice una cosa operativa molto chiara: qualcuno, sulle reti vere, sta ancora trovando host Windows 2000/XP/Server 2003 raggiungibili nel 2026, e il path SMB/RPC è ancora aperto.

Quella popolazione di host non è su nessuno schermo. È il substrato sotto l'inventario degli asset:

• PC di reparto produzione che pilotano PLC. Sostituirli significa ricertificare la linea.
• Strumentazione di laboratorio ospedaliero. La console MRI gira su un XP embedded che l'OEM non ha mai ri-rilasciato.
• Controller di badge per accessi fisici. Immagine Windows embedded con il contratto di supporto del vendor scaduto da anni.
• Jump host e VM "temporanee" il cui owner è andato via in una riorganizzazione di tre fa.
• Appliance gestite dal vendor. Una scatola con un adesivo CMOS e un numero di telefono sopra.
• Flotte ATM, kiosk image, point-of-sale, pipeline di rendering per signage.

Nessuno di questi è nell'asset register. Nessuno riceve un ticket di patching il Patch Tuesday. Tutti parlano SMB.

Aurora è il secondo canarino

L'altro bug famoso nel batch — CVE-2010-0249 — ha una forma diversa ma la stessa root cause. È una use-after-free in Internet Explorer, sfruttata fra il 2009 e il 2010 da un'operazione state-aligned cinese per compromettere Google, Adobe, Juniper Networks, Yahoo, Symantec, Northrop Grumman, Dow Chemical e almeno una dozzina di altre aziende. L'exploit arrivava via spear-phishing con link a una pagina malevola; il JavaScript della pagina costruiva la condizione di use-after-free; seguivano un downloader e un RAT.

IE6/7/8 non sono browser che qualcuno usa per navigare il web nel 2026. Ma il motore IE — MSHTML.dll, iepeers.dll e affini — sopravvive dentro:

• Applicativi line-of-business legacy con controlli WebView embedded.
• HMI industriali che renderizzano UI di manutenzione in modalità di compatibilità IE7.
• Portali intranet basati su VBScript su box Server 2008 R2 mai migrati.
• Sistemi di document management e ticketing con WebBrowser control bundled.

La exploit chain funziona ancora contro uno qualsiasi di questi se il content giusto arriva. E il content giusto arriva ogni volta che l'utente apre un PDF "interno", un link di workflow o un'automazione che pulla un payload remoto.

Il twist di Defender

I due CVE 2026 nello stesso batch meritano un paragrafo a parte. Il Patch Tuesday Microsoft di maggio 2026 ha rilasciato 130 CVE, di cui 30 Critical. Due — CVE-2026-41091 e CVE-2026-45498 — sono dentro Microsoft Defender. Stesso batch KEV di Conficker. Lo strumento che dovrebbe difendere l'endpoint è ora il path di privilege escalation locale sull'endpoint.

Non è un caso isolato. Gli agent EDR e AV sono privilegiati, network-attached, spesso opachi al proprietario dell'host e sempre più appetibili come target primario. Da due anni vediamo lo stesso pattern nei bypass di SentinelOne, CrowdStrike, ESET, Trellix rilasciati quietly nei cluster del Patch Tuesday. Il difensore è il nuovo pivot.

Cosa significa per asset inventory e cadenza di patching

Si prenda il batch del 20 maggio come singolo dato e la conclusione si scrive da sola:

• La posizione "lo abbiamo patchato anni fa" non è una difesa. Patchato sugli host inventariati ≠ patchato sulla rete. Il KEV esiste esattamente perché l'inventario è sbagliato.
• I pentest annuali o trimestrali non vedono questa superficie. Lo scope è definito dal cliente. Lo scope del cliente è il suo inventario. L'inventario è sbagliato. Il pentest valida la parte già documentata; la parte non documentata resta non testata.
• Gli agent EDR/AV network-attached sono ora un target, non solo un controllo. Una CVE Defender nel KEV è una conversazione diversa da una CVE browser nel KEV: è sulla scatola che dovrebbe cercare le CVE di tutti gli altri.
• Il filo è oggi il sensore più onesto. Un bridge di PLC di fabbrica non gira EDR. Uno strumento medico non gira EDR. La cosa che li vede è la rete. La signature di propagazione SMB di Conficker non è cambiata dal 2009. Né la forma del C2 polling. Quello che cambia è se qualcuno sta ascoltando sul filo.

"Mostraci, il giorno prima del breach, ogni host Windows 2000/XP/Server 2003 raggiungibile dentro il perimetro a partire da una VLAN workstation."

La maggior parte dei CISO oggi non sa rispondere. La domanda d'auditor per il 2027 è la stessa con una data attaccata.

Cadenza di patching vs validazione continua

La risposta convenzionale è "migliorare il patch management". Corretta e insufficiente. Il patch management è funzione dell'inventario; l'inventario è la cosa rotta. La risposta giusta è validazione continua indipendente dall'inventario:

1. Scoprire ogni host sulla rete, anche quelli che nessuno ha messo nella asset list. Sweep ARP/MAC, broadcast domain, multicast, mDNS, SSDP, LLMNR, BACnet, Modbus, ICCP, più osservazione passiva di ogni flow. Gli host che compaiono qui ma non nel CMDB sono quelli con l'esposizione legacy.
2. Validare contro la classe KEV reale, su ogni host, in codice. Non "la versione nel banner è abbastanza vecchia da essere vulnerabile" ma "invia la sequenza RPC reale di MS08-067 in una copia sandbox e vedi se la chiamata torna".
3. Ripetere continuamente. Cron, change-trigger, nuovo asset sul perimetro, nuova VLAN portata su — la cadenza non è "audit Q4" ma "entro l'ora".
4. Guardare la rete per la signature di propagazione. Lo scan SMB di Conficker è uno dei pattern di traffico più distintivi del catalogo. La forma del C2 polling di Aurora, anche renderizzata attraverso un proxy moderno, ha un tell. La detection surface è il filo, non l'endpoint.

È il profilo operativo che l'update KEV del 20 maggio impone. Patcha quello che puoi. Valida quello che non puoi. Ascolta il filo in ogni caso.

Come Zero Hunt chiude il loop sulle CVE legacy

È esattamente per questo scenario che la piattaforma Zero Hunt è stata costruita. Due dei tre pillar si applicano direttamente al caso del 20 maggio.

Pillar 1 — AI Generative Pentest. Lo swarm di 10 agent — Recon, Exploit, Web, Credential, Post-Exploit, Pivot, Tactic, Report, più un AI Controller — gira in continuo, non con cadenza annuale. Recon enumera ogni host raggiungibile a prescindere dall'inventario fornito dal cliente: ARP, mDNS, broadcast, inferenza passiva dei flow, banner grab. Exploit genera una catena di validazione per-target per la classe di CVE — incluse sequenze RPC nello stile MS08-067, trigger di use-after-free in stile Aurora, payload Adobe Reader con heap overflow — in container sandbox, mai sull'host. Ogni validazione è coperta dall'AI Gym: 142+ skill di sicurezza self-evolving, backtested contro Vulhub (316/317 esercizi in 16 classi), NYU CTF Bench (200 task CSAW), Cybench e Vulhub-Bench (314 task black-box basati su CVE) prima che una skill tocchi una rete cliente. Le CVE legacy non sono "fuori scope" perché sono vecchie; sono in scope perché sono ancora sul filo. I finding sono firmati ECDSA al momento della scrittura, così quando l'auditor chiede "cosa vedevi quel giorno?" la risposta è una chain of custody, non uno screenshot.

Pillar 2 — AI Traffic Analysis. Un bridge PLC Windows 2000 di fabbrica non può girare un agent EDR; il contratto OEM lo vieta e il firmware non sopravvivrebbe all'installazione. Quello che non può evitare è stare sulla rete. Il modello deep-learning di traffico proprietario di Zero Hunt, con quattro inference head paralleli (traffico sospetto, classificazione malware, identificazione tipo di attacco, fingerprinting applicativo), gira a 2,7+ Gbit/s di baseline sulla GPU dell'appliance e osserva ogni flow del segmento. Lo scan SMB di Conficker, il C2 polling stile Aurora, la telemetria di sfruttamento Adobe Reader sul filo — tutti hanno superficie di detection su un modello addestrato su miliardi di sequenze PCAP. Il punto non è retrofittare la protezione endpoint su una scatola del 2003. Il punto è vedere l'evento di propagazione in tempo reale, non nel digest SIEM del mattino dopo.

La piattaforma gira 100% on-prem, senza callback cloud e senza API LLM esterne — lo stesso vincolo che le reti industriali legacy hanno sempre avuto, e lo stesso vincolo che i prossimi dodici mesi di enforcement regolatorio europeo richiederanno sempre più. La mappatura di ogni finding contro 32 framework (NIS2, DORA, ISO 27001, NIST CSF, MITRE ATT&CK, e altri 27) è automatica; l'auditor vede la stessa evidenza che vede il team di engineering, firmata, queryable e datata al momento della scansione.

La storia dell'update KEV del 20 maggio è che la superficie d'attacco è più vecchia del tuo asset inventory e più longeva del tuo patch ticket. La risposta è smettere di testare contro l'inventario e iniziare a testare contro la rete. Vedi la piattaforma — e se vuoi un walkthrough del backtest AI Gym su una skill di classe Conficker o di un replay di una CVE Defender, contattaci.