Zero-day Windows CVE-2026-85880 e CVE-2026-81963: due escalation a SYSTEM marchiate 'Important'

Il Patch Tuesday di settembre 2026 ha chiuso 966 falle, 105 delle quali critiche. Due erano già sfruttate prima che arrivasse la patch. Nessuna delle due è una critica. Nessuna è remote code execution. Sono entrambe bug di elevazione di privilegi locale che trasformano un accesso già ottenuto in controllo SYSTEM completo su una macchina Windows — ed entrambe portano un punteggio CVSS di 7.8, la fascia "Important" che la maggior parte dei programmi di patching pianifica per la finestra di manutenzione successiva. CISA le ha aggiunte entrambe al catalogo Known Exploited Vulnerabilities l'8 settembre con scadenza di remediation al 22 settembre. Il divario tra come vengono valutate e cosa ci fanno davvero gli attaccanti è tutta la storia.

Due zero-day Windows, e nessuno è una RCE

Ecco i due sfruttati in the wild, direttamente dagli advisory:

CVE	Componente	Classe	CVSS	Effetto	Attribuzione
CVE-2026-85880	Windows Advanced Local Procedure Call (ALPC)	Heap-based buffer overflow	7.8	L'attaccante locale esce da un AppContainer a basso privilegio ed eleva a SYSTEM; nessuna interazione utente	Volexity; Proofpoint
CVE-2026-81963	Windows Update Stack	Link-following (risoluzione impropria dei link)	7.8	L'attaccante locale abusa della risoluzione dei symbolic link per elevare a SYSTEM	MSTIC

CVE-2026-85880 è la prima vulnerabilità ALPC che Microsoft rilascia in un Patch Tuesday da oltre tre anni, e solo il secondo bug ALPC sfruttato come zero-day da gennaio 2023. CVE-2026-81963 è il primo di sette bug di elevazione nel Windows Update Stack corretti dal 2022 a essere colto in sfruttamento attivo. Le attribuzioni contano: Volexity e MSTIC sono i nomi che si vedono legati al lavoro di intrusione mirata, non al crimeware di massa. Qualcuno ha bruciato due zero-day Windows freschi per elevare privilegi, in silenzio, contro bersagli scelti.

La forma del mese rafforza il punto. Delle 966 falle, 438 erano di elevazione di privilegi e 258 di remote code execution — le EoP superano le RCE di quasi due a uno. Le due effettivamente sfruttate arrivavano dal mucchio più grande e più silenzioso.

Perché gli attaccanti bruciano zero-day sull'escalation dei privilegi

L'istinto di trattare un bug locale da 7.8 come di seconda fascia nasce da un modello mentale in cui la RCE remota e pre-auth è il premio e tutto il resto è manovalanza. Quel modello è vecchio di un decennio.

L'accesso iniziale oggi costa poco. Un'esca di phishing con un loader firmato, un cookie di sessione rubato comprato da uno stealer log, una singola credenziale riutilizzata contro una VPN esposta, un pacchetto npm avvelenato che finisce sul laptop di uno sviluppatore — uno qualsiasi di questi porta l'attaccante dentro come utente normale. Quello che ottiene è esecuzione di codice a integrità bassa o media: utile, ma ingabbiata. Non può leggere i segreti di altri utenti, non può toccare LSASS, non può disattivare l'agent EDR, non può installare un servizio che sopravvive al riavvio. Il confine dei privilegi è l'unica cosa tra "un account utente compromesso" e "una macchina compromessa".

Quel confine è esattamente ciò che CVE-2026-85880 e CVE-2026-81963 cancellano. Entrambe richiedono accesso locale; entrambe richiedono privilegi bassi; entrambe non richiedono interazione utente; entrambe consegnano SYSTEM. SYSTEM è dove l'intrusione diventa reale: furto di credenziali, persistenza, manomissione dei log, movimento laterale con l'account macchina.

"Siamo a posto sui due zero-day — sono solo 7.8, serve l'accesso locale."

Il payload di phishing che è girato su un laptop commerciale stamattina è l'accesso locale. Il 7.8 è la parte della breccia che succede dopo.

Per questo i gruppi di intrusione maturi pagano proprio per gli zero-day di EoP. Una RCE remota ti dà una macchina; una primitiva di escalation che funziona su ogni macchina Windows patchata dell'infrastruttura te le dà tutte, da qualsiasi appoggio, in modo affidabile, per tutto il tempo in cui resta senza patch. È la metà riutilizzabile della kill chain.

Il CVSS dice "Important." La tua kill chain dice "critico."

I punteggi base CVSS penalizzano pesantemente un attack vector "Local" e privileges-required "Low". È questa aritmetica a far atterrare a 7.8, invece che a un 9 e qualcosa, un bug che dà SYSTEM all'attaccante. Il punteggio è internamente coerente; è anche sistematicamente sbagliato sul rischio operativo, perché modella la precondizione — "l'attaccante ha già esecuzione di codice locale" — come uno sconto. In un'intrusione reale quella precondizione non è uno sconto. È l'ordinaria amministrazione.

Ne discendono alcune cose:

• Il filtro per severità nasconde i bug sfruttati. Un programma di patching che rimanda tutto sotto CVSS 9.0 avrebbe rimandato entrambi gli zero-day sfruttati attivamente del mese. I bug usati contro bersagli reali stavano nel secchio "Important, prossima finestra".
• L'elevazione ALPC è una superficie ricorrente, non un caso. La knowledge base di Zero Hunt restituisce una lunga fila di voci di elevazione ALPC — tra cui CVE-2022-41093, CVE-2022-41045, CVE-2022-41100, CVE-2022-30160, CVE-2022-30202, CVE-2023-28216. Questa classe torna al Patch Tuesday con regolarità. Trattare ogni nuova istanza come una sorpresa è un fallimento di pianificazione, non di detection.
• Il link-following (il bug dell'Update Stack) è una primitiva vecchia di decenni. La risoluzione impropria dei symbolic link in un servizio privilegiato permette a un utente a basso privilegio di redirigere un'operazione su file in contesto SYSTEM verso una destinazione mai prevista. È poco appariscente e funziona, motivo per cui continua a comparire in updater, installer e agent di backup.

La domanda difensiva non è "quanto è critico questo CVE?". È "se un attaccante sta già girando come utente su questo host, cosa può raggiungere?". Il CVSS non può rispondere. Solo eseguire la catena può.

Remediation

Trattale entrambe come patch prioritarie, non come voci da finestra di manutenzione. La scadenza KEV di CISA al 22 settembre è il pavimento federale, non l'obiettivo guidato dalla sicurezza — sono state sfruttate come zero-day prima che la fix esistesse.

1. Sono interessato? Entrambi i bug sono in componenti core di Windows, quindi ogni build client e server supportata è in ambito finché non viene patchata. CVE-2026-81963 raggiunge Windows 11 attuale e Windows Server 2025; CVE-2026-85880 arriva anche a Windows 10 e ai branch Server più vecchi — controlla il parco legacy, non solo le immagini nuove. Verifica che il cumulativo dell'8 settembre 2026 sia installato:

# Il cumulativo di settembre è presente?
Get-HotFix -Id KB5124008, KB5122880, KB5122878 -ErrorAction SilentlyContinue
# Oppure leggi la build e confrontala con la revisione patchata per la tua SKU
[System.Environment]::OSVersion.Version
winver

2. Patch — aggiornamenti fissati esatti. Applica gli aggiornamenti di sicurezza dell'8 settembre 2026: KB5124008 e KB5122880 per Windows 11, KB5122878 per Windows 10 (ESU). Le SKU Server prendono il cumulativo di settembre corrispondente. Entrambi i CVE sono corretti nel singolo rollup mensile; non c'è un hotfix separato da tracciare.

3. Non puoi patchare subito? Controlli compensativi. Non puoi mitigare in modo significativo una EoP locale in un componente core dell'OS con la configurazione — il vero controllo è affamare la precondizione (esecuzione di codice locale) e attenuare il guadagno (cosa compra SYSTEM all'attaccante):

• Metti l'EDR in modalità block e abilita le regole Attack Surface Reduction; la EoP scatta solo dopo che qualcosa ha ottenuto l'appoggio.
• Applica l'application allowlisting (WDAC/AppLocker) e blocca i soliti LOLBin e percorsi macro di accesso iniziale.
• Abilita la protezione di LSASS (RunAsPPL) e Credential Guard così un'escalation a SYSTEM non produce subito credenziali di dominio.
• Rimuovi i diritti di amministratore locale permanenti e limita il logon interattivo sui server.
• Dai priorità al patching degli host esposti su Internet e ad alto valore, dove un appoggio è più probabile e più costoso.

4. Caccia alla compromissione. Poiché lo sfruttamento lascia poco su disco, caccia sul comportamento e su ciò che succede dopo l'escalation. Mappa su MITRE ATT&CK:

• T1068 — Exploitation for Privilege Escalation: un processo a integrità bassa/media o AppContainer seguito immediatamente da attività a integrità SYSTEM dalla stessa discendenza (Sysmon Event ID 1, anomalie di parent/child e di integrity level). Crash ripetuti di svchost.exe/lsass.exe con report WER possono indicare tentativi falliti di sfruttamento ALPC.
• Link-following (CVE-2026-81963): creazione di reparse-point / symbolic link o junction sotto le directory di lavoro di Windows Update da parte di un processo non-TrustedInstaller (Sysmon Event ID 11), e scritture in contesto TrustedInstaller verso percorsi controllabili dall'attaccante.
• T1134 — Access Token Manipulation e T1003.001 — LSASS Memory: processi non appartenenti a strumenti di sicurezza che aprono un handle verso lsass.exe (Sysmon Event ID 10) poco dopo un salto di integrità.
• T1543.003 — Windows Service e T1547: nuovi servizi o run key creati nella stessa sessione (System Event ID 7045).
• T1070.001 — Clear Windows Event Logs: pulizia del log Security (Event ID 1102) subito dopo la finestra di escalation — un segnale affidabile che qualcosa ha raggiunto SYSTEM.

5. Bonifica e verifica. Su qualsiasi host che mostri segnali post-escalation, assumi che SYSTEM sia stato raggiunto: isola, acquisisci un'immagine di triage e ruota ogni credenziale che ha toccato la macchina — account locali, credenziali di dominio in cache, service account e lo stesso account macchina (che un attaccante a SYSTEM può usare per movimento laterale autenticato). Reimmagina invece di ripulire quando si sospetta persistenza a SYSTEM. Verifica confermando che il cumulativo sia installato e che i segnali ATT&CK post-escalation qui sopra siano tornati silenziosi su tutto il parco, non solo sull'host che hai trovato.

Dove entra Zero Hunt: dimostrare la seconda metà della catena

Tutto quanto sopra si riduce a una domanda a cui un punteggio CVSS non sa rispondere: da un appoggio realistico, cosa raggiunge davvero questo bug? È una domanda che si risolve eseguendo la catena, non leggendo l'advisory — che è esattamente ciò per cui è costruito l'AI Generative Pentest di Zero Hunt.

Lo sciame di 10 agenti non si ferma a trovare un servizio esposto. I suoi agenti Post-Exploit e Pivot prendono un appoggio — l'accesso iniziale di livello phishing che tutto questo articolo dà per scontato — e tentano i passi di escalation a SYSTEM e di movimento laterale dall'inizio alla fine, contro i tuoi host, con codice di exploit che l'LLM locale scrive per singolo bersaglio invece di pescare un PoC pubblico. Quando una EoP locale come CVE-2026-85880 è raggiungibile da un punto di partenza realistico su una macchina specifica, il motore la fa emergere come catena validata — appoggio → SYSTEM → cosa è venuto dopo — non come una riga valutata 7.8 e rimandata. Ogni skill è sottoposta a backtest nell'AI Gym prima di toccare la produzione, e ogni azione è firmata ECDSA in un record con catena di custodia, così il finding è un resoconto riproducibile e difendibile di quale fosse davvero il percorso d'attacco.

E i passi dopo SYSTEM — il furto di credenziali, il movimento laterale con l'account macchina, il nuovo servizio che fa beaconing verso l'esterno — sono esattamente ciò che il modello di AI Traffic Analysis legge sul filo, mentre accadono, senza un agent da disattivare sull'host che l'attaccante ora possiede. Una EoP locale è invisibile finché qualcuno non la esegue in avanti. Eseguila in avanti di proposito, prima che lo facciano per te quelli che bruciano zero-day.