CVE-2026-96951: Microsoft corregge zero-day MotW con scadenza CISA di tre giorni

Microsoft ha corretto il 13 ottobre 2026 la zero-day CVE-2026-96951, un bypass di Mark of the Web attivamente sfruttato con CVSS 8.8. CISA ha imposto alle agenzie federali una scadenza di remediation di tre giorni, il 16 ottobre.

Microsoft ha rilasciato il 13 ottobre 2026 la patch per CVE-2026-96951, una vulnerabilità zero-day nel Windows Shell attivamente sfruttata per aggirare Mark of the Web (MotW). Il Common Vulnerability Scoring System assegna un punteggio di 8.8, classificando la falla come "Important" e non "Critical". CISA ha inserito la CVE nel catalogo Known Exploited Vulnerabilities con scadenza di remediation al 16 ottobre 2026: una finestra di tre giorni che evidenzia un disallineamento tra metrica di severità e urgenza operativa.

Punti chiave

Microsoft ha confermato exploitation attiva di CVE-2026-96951 prima del rilascio della patch; CISA imposta scadenza KEV al 16 ottobre 2026
Il CVSS 3.1 base è 8.8 (vector AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H), classificato "Important": la metrica non incorpora la probabilità di exploitation
La vulnerabilità è una command injection (CWE-77) nel Windows Shell che consente di evitare l'applicazione del marker MotW, con effetto a valle su SmartScreen e Office Protected View
Microsoft non ha divulgato l'identità dell'attaccante, le vittime o la campagna di attacco osservata; non è disponibile pubblicamente il codice proof-of-concept

Dato chiave: 3 giorni di finestra tra patch CISA KEV (13-16 ottobre 2026), contro 78+ flaw "Critical" nel medesimo Patch Tuesday senza scadenza accelerata.

Il disallineamento CVSS-KEV

Il punteggio CVSS 8.8 di CVE-2026-96951 colloca la vulnerabilità nella fascia "High" ma non "Critical". Microsoft la classifica internamente come "Important". Questa etichetta influenza i sistemi di prioritizzazione automatica: molte piattaforme di vulnerability management deprioritizzano le "Important" rispetto alle "Critical", concentrando risorse su CVE con punteggio superiore a 9.0 ma senza evidenza di exploitation.

Il dato che altera questa logica è la conferma di exploitation attiva. Microsoft Security Response Center marca la CVE come "Exploitation Detected". CISA, nel catalogo KEV, impone una scadenza di remediation di tre giorni per le agenzie federali: dal 13 al 16 ottobre 2026. Il KEV catalog indica inoltre "Forensic triage required per BOD 26-04: Yes".

Perché la metrica non cattura il rischio

Il disallineamento è ricorrente nel framework CVSS 3.1. Il punteggio base misura la severità intrinseca della vulnerabilità, non la probabilità di exploitation nel mondo reale. Il sottosistema temporale esiste ma è opzionale e raramente integrato nei workflow automatici di prioritizzazione.

SecurityWeek riporta che il Patch Tuesday di ottobre 2026 ha corretto circa 1,413 CVE in totale, superando l'intero anno 2020 (1,261 CVE). Tra queste, oltre 78 flaw con rating "Critical", la maggior parte Remote Code Execution. È una "Important" con CVSS 8.8 a ricevere la scadenza più accelerata del catalogo KEV, perché la metrica di severità non incorpora lo stato di exploitation.

Meccanismo e scenario di attacco

La vulnerabilità risiede nel Windows Shell ed è classificata come CWE-77 Command Injection. Secondo l'advisory Microsoft: "An attacker who successfully exploited the vulnerability could evade Mark of the Web (MOTW) defenses". Il marker MotW è un attributo alternativo di flusso che Windows applica ai file scaricati da Internet, attivando controlli di sicurezza a valle.

Lo scenario di attacco documentato richiede l'interazione dell'utente. Microsoft: "In an email or instant message attack scenario, the attacker could send the targeted user a specially crafted file that is designed to exploit the vulnerability". Il vector CVSS conferma UI:R (User Interaction Required). Una volta aperto il file, la command injection impedisce l'applicazione del marker MotW. Il file si esegue senza i controlli di sicurezza abituali; il vector riporta PR:N (Privileges Required: None).

L'accesso alla rete (AV:N) e la complessità bassa (AC:L) completano un profilo sfruttabile su larga scala. Il punteggio temporale MSRC, che riflette exploit funzionale disponibile e patch rilasciata, è riportato da ThreatFrontier come 8.2; la fonte primaria per questo dato è Microsoft.

Superficie d'attacco e patch

Le versioni interessate includono Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1, 26H2), Windows Server (2012 R2, 2016, 2019, 2022, 2025) e Outlook.com. Microsoft ha elencato 31 voci di prodotto interessate.

Le build patchate sono verificabili: Windows 11 24H2 build 26100.9711 (KB5127648), Windows 10 22H2 build 19045.7807 (KB5126657). Windows 10 22H2 non in Extended Security Update non riceve la patch. Per Outlook.com, Microsoft indica la build 20260925.100; HOL Guard conferma che è richiesta azione da parte del cliente con riferimento alle release notes ufficiali.

Il meccanismo tecnico esatto della command injection non è pubblico: non esiste root-cause analysis disponibile, né codice proof-of-concept. Microsoft non ha divulgato l'attaccante, le vittime o la campagna specifica.

Cosa fare adesso

Verificare l'applicazione della patch su tutti i sistemi Windows interessati, con attenzione agli endpoint esposti a email e messaggistica istantanea. Controllare manualmente la build installata: i sistemi Windows 10 22H2 senza ESU rimangono esposti.

Attivare il detection comportamentale per compensare l'assenza di Indicatori di Compromissione pubblici. Poiché Microsoft non ha rilasciato IoC, la ricerca deve concentrarsi su esecuzione di file non marcati MotW in contesti anomali.

Per le organizzazioni soggette a BOD 26-04, eseguire il forensic triage entro la scadenza del 16 ottobre 2026. Il KEV catalog indica esplicitamente questo requisito.

Limiti delle fonti e elementi non verificabili

La fonte primaria Microsoft conferma exploitation attiva ma non ne descrive la catena completa. Non è disponibile il meccanismo tecnico esatto della command injection nel Windows Shell. Nessuna fonte primaria attribuisce l'attacco a un gruppo specifico come APT28.

Le fonti secondarie (Shattered.io, ThreatFrontier, SOC Prime, HOL Guard) concordano sui dati strutturali ma non aggiungono evidenze indipendenti di exploitation. Il record NVD riporta i dati Microsoft ma è in stato "Undergoing Analysis" per il punteggio proprio.

La segnalazione della vulnerabilità è attribuita a Riku Bamba e Yuya Chudo (Fujitsu), Benoit Sevens con Claude (Anthropic), e al ricercatore yhw.

Chiusura editoriale

CVE-2026-96951 è un caso studio nel disallineamento tra metriche di severità e urgenza operativa. Il CVSS 8.8 e la classificazione "Important" non hanno impedito a CISA di imporre la scadenza KEV più accelerata del Patch Tuesday. Le organizzazioni che filtrano per punteggio senza integrare lo stato di exploitation rischiano di sottovalutare vulnerabilità attivamente sfruttate.

Il record di 1,413 CVE nel Patch Tuesday di ottobre 2026 amplifica questo problema: la scala del patching supera la capacità di triage manuale, rendendo ancora più critica l'integrazione del KEV catalog nei workflow automatici. La finestra di tre giorni imposta da CISA è un segnale esplicito che per questa falla la severità intrinseca è secondaria rispetto alla conferma di exploitation nel mondo reale.

Fonti

Fonti e riferimenti

Ricevi DeafLetter