Windows Shell CVE-2026-96951: bypass di Mark of the Web già sfruttato, patch subito

Il Patch Tuesday di ottobre 2026 di Microsoft porta una correzione che non può aspettare la finestra di manutenzione: CVE-2026-96951, una falla di command injection in Windows Shell che permette a un file artefatto di scavalcare Mark of the Web — il marchio che Windows applica a qualsiasi file arrivato da internet — e di aprirsi come se l'utente lo avesse creato in locale. Microsoft la classifica "Exploitation Detected", CISA l'ha inserita nel catalogo Known Exploited Vulnerabilities lo stesso giorno con un termine federale di tre giorni, e l'attacco non richiede nulla di più di un utente che apre un allegato di posta. Se le vostre persone aprono i file che ricevono, siete nel perimetro.

Notizia in evoluzione — pubblicata alle 21:24 (19:24 UTC) del 13 ottobre 2026. Aggiornata man mano che vendor e CISA pubblicano.

In breve

CVE	CVE-2026-96951
Prodotto / versioni colpite	Windows Shell · tutte le edizioni supportate client e server — Windows 10 (da 1607 a 22H2), Windows 11 (da 22H2 a 25H2), Windows Server da 2012 R2 a Server 2025
Corretta in	Aggiornamenti cumulativi di ottobre 2026, rilasciati il 2026-10-13 — es. Windows 11 24H2/25H2 KB5127648 · Windows 11 22H2/23H2 KB5126653 · Windows Server 2025 KB5126646 · Windows Server 2022 KB5126655
CVSS	8.8 High · temporale 8.2 · CVSS 3.1, assegnato da Microsoft · AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Sfruttata attivamente	Sì — Microsoft: "Exploitation Detected"; CISA KEV
CISA KEV	Aggiunta 2026-10-13; scadenza federale 2026-10-16 (BOD 26-04, triage forense richiesto)
PoC pubblico	Nessuno pubblico al 2026-10-13 (Microsoft: "Publicly Disclosed: No")
Advisory ufficiale	MSRC CVE-2026-96951

Cosa fa davvero CVE-2026-96951

Mark of the Web (MOTW) è l'ossatura silenziosa di diverse difese di Windows. Quando un file viene scaricato, estratto da un archivio o salvato da un client di posta, Windows lo marca con uno stream alternativo Zone.Identifier che registra "questo arriva da internet". È quel marchio a far scattare il controllo di reputazione di SmartScreen, a costringere Office ad aprire il documento in Visualizzazione protetta con le macro disabilitate, e a far comparire l'avviso "sei sicuro di voler eseguire questo file?". Togli il marchio e tutte queste protezioni si disattivano in silenzio.

CVE-2026-96951 è una falla di command injection — CWE-77, neutralizzazione impropria di elementi speciali in un comando — in Windows Shell, il componente che gestisce come i file vengono aperti, mostrati in anteprima e avviati. Microsoft la classifica come security feature bypass e nel suo FAQ afferma chiaramente che un attaccante riuscito "potrebbe eludere le difese di Mark of the Web (MOTW)". La consegna è ingegneria sociale ordinaria: con le parole di Microsoft, l'attaccante invia "un file appositamente creato" via email o messaggistica istantanea e convince il bersaglio ad aprirlo. Non serve alcun privilegio né autenticazione (PR:N), l'attacco avviene in rete (AV:N) e richiede un clic (UI:R).

È questa combinazione a portare a High gli impatti su riservatezza, integrità e disponibilità e il punteggio base a 8.8. Microsoft assegna severità "Important" e non "Critical" — la classe SFB raramente arriva a Critical — ma l'etichetta sottostima la realtà operativa. Non è un bypass teorico: il flag di sfruttabilità è "Exploitation Detected", cioè Microsoft lo ha visto usato contro bersagli reali prima che la patch esistesse. Una parola di severità è una tassonomia; un exploit attivo è una misura.

Chi è esposto e come verificare la build

Ogni edizione supportata di Windows include il componente shell colpito, da Windows Server 2012 R2 fino a Server 2025 e da Windows 10 1607 a Windows 11 25H2. Qui non esiste l'esenzione "non usiamo quel prodotto": se è Windows, è colpito finché non viene applicata la patch.

Per controllare un host, confronta il numero di build con la build corretta del suo ramo. winver lo mostra in una finestra; da script, [System.Environment]::OSVersion.Version o cmd /c ver restituiscono il numero completo. Le build corrette rilevanti:

Ramo	Build corretta	KB
Windows 11 24H2 / 25H2	10.0.26100.9711 / 26200.9711	KB5127648
Windows 11 22H2 / 23H2	10.0.22631.7652	KB5126653
Windows Server 2025	10.0.26100.33650	KB5126646
Windows Server 2022	10.0.20348.5761	KB5126655
Windows 10 21H2 / 22H2	10.0.19044.7807	KB5126657
Windows Server 2019 / 10 1809	10.0.17763.9376	KB5126651
Windows Server 2016 / 10 1607	10.0.14393.9612	KB5126868
Windows Server 2012 R2	6.3.9600.23470	KB5126836

Qualsiasi build inferiore al valore del proprio ramo è vulnerabile.

Remediation

1. Sono colpito?

Censisci ogni host Windows e confronta la sua build con la tabella sopra. In PowerShell, Get-HotFix | Where-Object { $_.HotFixID -eq 'KB5127648' } (sostituendo la KB del ramo) conferma se il cumulativo di ottobre è installato. Tutto ciò che è sotto la build corretta è nel perimetro, inclusi sistemi offline, immagini e golden master che non si avviano da settembre.

2. Patch — versioni corrette esatte

Installa l'aggiornamento cumulativo di ottobre 2026 per ciascun ramo secondo la tabella. Le correzioni sono disponibili da Windows Update e dal Microsoft Update Catalog. Sono cumulative, quindi il rollup del mese corrente porta la correzione: non c'è un hotfix separato da inseguire.

3. Non puoi applicare la patch subito? Controlli compensativi

Finché il cumulativo non arriva, alza il costo della catena di consegna:

• Imponi SmartScreen per Explorer e Microsoft Edge via policy, così un controllo di reputazione scatta comunque anche quando il dato di zona del file è dubbio.
• Mantieni attiva la Visualizzazione protetta di Office e blocca le macro da internet (la policy "Blocca l'esecuzione delle macro nei file di Office provenienti da Internet"). La maggior parte delle catene con file artefatto ha ancora bisogno che l'utente esca dalla sandbox.
• Attiva le regole Attack Surface Reduction rilevanti — in particolare "Blocca contenuto eseguibile da client di posta e webmail" e "Blocca JavaScript o VBScript dall'avviare contenuto eseguibile scaricato". Scattano sul comportamento a prescindere dallo stato MOTW.
• Rimuovi o deflagra gli allegati rischiosi sul gateway di posta — collegamenti (.lnk), file di script, immagini disco (.iso, .vhd) e archivi che re-impacchettano eseguibili sono i soliti vettori per la consegna con bypass di MOTW.

4. Caccia alla compromissione

Microsoft e CISA non hanno ancora pubblicato hash o indicatori per questa campagna, quindi la caccia va fatta sul comportamento, non sulle firme. Mappa la catena su MITRE ATT&CK e cerca:

• T1566 Phishing / T1204.002 User Execution: Malicious File — utenti che aprono allegati o file scaricati poco prima di attività di processo anomale.
• T1553.005 Subvert Trust Controls: Mark-of-the-Web Bypass — file eseguiti da Download, %TEMP% o percorsi di estrazione archivi privi dello stream Zone.Identifier che dovrebbero portare.
• T1059 Command and Scripting Interpreter — explorer.exe o un gestore shell che genera cmd.exe, powershell.exe, wscript.exe o mshta.exe come figlio dell'apertura di un documento o di un archivio.

5. Bonifica e verifica

Se confermi l'esecuzione, isola l'host, rimuovi artefatti depositati e persistenza, e ruota qualsiasi credenziale residente sulla macchina. Poi applica la patch, riavvia, conferma che la build abbia raggiunto il valore corretto e ripeti la caccia per dimostrare che il comportamento è scomparso — la verifica dopo la patch, non al posto della patch. L'entry di CISA porta un obbligo di triage forense, quindi conserva le evidenze prima di ripulire.

Cosa non si sa ancora

• Il record NVD non è ancora arricchito — l'API NVD non restituiva risultati per l'ID alle 19:24 UTC del 13 ottobre, quindi non c'è un secondo punteggio CVSS indipendente da confrontare con l'8.8 di Microsoft.
• Nessun attore, campagna o settore vittima è stato attribuito pubblicamente. KEV indica l'uso ransomware come "Unknown".
• Non esiste alcun proof-of-concept pubblico; Microsoft dichiara che la falla non è stata divulgata pubblicamente prima della patch.
• Microsoft descrive lo scenario di consegna (file artefatto via email o IM) ma non ha pubblicato il tipo di file specifico né l'artefatto d'attacco osservato in the wild.

Aggiorneremo questo articolo man mano che vendor e CISA rilasceranno altro.

Provare il bypass prima dell'attaccante

"Exploitation Detected" significa che qualcuno ha già dimostrato che funziona su una build Windows reale. La domanda scomoda per un difensore è se funzioni sulla vostra — la vostra golden image, la vostra baseline ASR, le vostre regole del gateway di posta — e una stringa di versione in un report di inventario non può rispondere. Dice quale build è installata, non se un file artefatto arriva ancora all'esecuzione nel modo in cui il vostro parco è davvero configurato.

È questo il divario che chiude un red team autonomo con AI. Zero Hunt esegue uno swarm di 10 agenti che identifica prodotto e versione esatti, poi fa scrivere a un coding agent sigillato un proof-of-concept per-target contro quella build — un exploit generativo prodotto da modelli locali, non uno script preso da un repository pubblico, cosa che qui conta proprio perché per questa CVE non esiste ancora un PoC pubblico. Ogni tentativo gira in un container Docker effimero con hardening gVisor, così non tocca mai l'host, la campagna è black-box di default, e poiché il motore gira on-premise sui propri modelli privati nessun file e nessun risultato lascia l'apparato. C'è un umano nel loop: ai livelli di autonomia che la maggior parte degli operatori usa, il passo di esecuzione del file artefatto attende un'approvazione esplicita prima di partire, con consenso registrato e record firmato nel momento del test.

Una volta provato il risultato, la pressione è una scadenza KEV di tre giorni su decine di build Windows, e lì la sequenza conta più della velocità pura. L'AI Remediation Advisor di Zero Hunt ordina il parco per sfruttabilità reale — prima ciò che è in KEV, poi ciò che la campagna ha davvero dimostrato raggiungibile, poi CVSS ed EPSS — restituisce la build e la KB corretta esatta per ciascun ramo con note di rollout e rollback, indica il controllo ASR e SmartScreen che tiene la linea mentre si organizza il deployment, e riverifica la correzione con la stessa prova che aveva dimostrato il problema. Ogni record è firmato al momento della scrittura e mappato sui framework che portano i propri orologi — NIS2 e DORA nella UE, e l'obbligo di triage forense che CISA ha appena allegato — così il fascicolo di audit è difendibile, non un foglio di calcolo assemblato a posteriori.