Microsoft classifica exploitation More Likely per CVE-2026-62893…

Microsoft ha corretto una vulnerabilità nel servizio WDSServer. L'exploitability assessment classifica l'attacco come 'More Likely' e non richiede autenticazione.

Il 11 agosto 2026 Microsoft ha distribuito l'aggiornamento correttivo per CVE-2026-62893, un use-after-free nel servizio WDSServer di Windows Deployment Services che consente esecuzione remota di codice non autenticata con privilegi SYSTEM. La vulnerabilità, tracciata come ZDI-26-544 dal TrendAI Zero Day Initiative, presenta un gap di scoring: CVSS 9.8 CRITICAL secondo CVE.org contro il 7.5 attribuito da ZDI.

Punti chiave

La vulnerabilità è un use-after-free nel WDSServer di Windows Deployment Services, sfruttabile da attaccanti network-adjacent senza autenticazione.
CVE.org assegna CVSS 9.8 CRITICAL con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H; ZDI riporta 7.5, una discrepanza non spiegata esplicitamente nelle fonti.
Microsoft classifica l'exploitability come "More Likely" e conferma che non è richiesta interazione utente; non è stata rilevata attività in-the-wild.
Solo i sistemi con Windows Deployment Services abilitato sono interessati: Windows Server 2012, 2012 R2, 2016, 2019 e 2025 con build specifiche.

Il meccanismo: come funziona il use-after-free in WDSServer

Il difetto risiede nella mancata validazione dell'esistenza di un oggetto prima di operazioni su di esso all'interno del servizio WDSServer. Secondo l'advisory ZDI, "The specific flaw exists within the WDSServer service. The issue results from the lack of validating the existence of an object prior to performing operations on the object." Questa condizione di use-after-free permette a un attaccante di manipolare la memoria heap dopo che un oggetto è stato liberato.

L'attaccante ottiene l'esecuzione di codice arbitrario nel contesto SYSTEM, il più privilegiato in Windows. L'attacco richiede la capacità di inviare pacchetti di rete appositamente costruiti al servizio vulnerabile. ZDI classifica il vettore come "network-adjacent"; CVE.org assegna AV:N (Network). La fonte non specifica il motivo della divergenza tra queste valutazioni.

L'assenza di requisiti di autenticazione e di interazione utente abbassa significativamente la soglia di exploitabilità. Secondo Microsoft, "An unauthenticated attacker could exploit this vulnerability by sending a specially crafted packet to an affected service over the network." Il risultato è un attacco completamente remoto che non richiede credenziali né azioni da parte della vittima.

Il divario di scoring: ZDI 7.5 e CVE.org 9.8

La discrepanza tra CVSS 7.5 (ZDI) e 9.8 (CVE.org) costituisce un elemento rilevante per il risk assessment. Il vettore CVE.org (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) classifica l'attacco come network-based senza privilegi, con impatto completo su confidenzialità, integrità e disponibilità. Il punteggio ZDI più conservativo non è spiegato esplicitamente nelle fonti disponibili.

Il record CVE.org fornisce il vettore completo; l'advisory ZDI non pubblica un vettore dettagliato nei dati estratti. Per i team di sicurezza, entrambi i punteggi sono documentati ma non riconciliati dalle fonti primarie. La prudenza suggerisce di pianificare il patching assumendo il punteggio più alto come riferimento per la prioritizzazione.

"Use after free in Windows Deployment Services allows an unauthorized attacker to execute code over a network." — CVE.org, CVE-2026-62893

La timeline da giugno ad agosto

La vulnerabilità è stata segnalata privatamente il 18 giugno 2026 e divulgata pubblicamente l'11 agosto 2026, secondo i dati strutturati dell'advisory ZDI. Il lasso di tempo di 54 giorni tra segnalazione e disclosure coordinata ha permesso a Microsoft di sviluppare e testare l'aggiornamento correttivo.

Microsoft ha rilasciato la patch nell'aggiornamento cumulativo di agosto 2026, con conferma esplicita: "A complete vendor solution is available." Il campo credit dell'advisory ZDI non è popolato nei dati estratti. La fonte non specifica se la scoperta sia avvenuta internamente a TrendAI Research o tramite ricercatore esterno.

L'exploitability assessment di Microsoft classifica l'exploitation come "More Likely", indicando che la probabilità di attacco è elevata. Allo stesso tempo, Microsoft conferma "Exploited: No", escludendo attività in-the-wild rilevata al momento della pubblicazione. Non è disponibile codice di exploit pubblico: "No publicly available exploit code is available."

Cosa fare adesso

Microsoft ha reso disponibile l'aggiornamento correttivo per tutte le versioni affette. La classificazione "Exploitation More Likely" indica che Microsoft valuta l'exploitation tecnicamente fattibile. I team operativi devono agire con priorità sui sistemi esposti.

Verificare quali sistemi eseguono Windows Deployment Services e se il servizio WDSServer è attivo.
Applicare l'aggiornamento di agosto 2026 per CVE-2026-62893 alle versioni Server 2012, 2012 R2, 2016, 2019 e 2025, controllando le build specifiche elencate nel record CVE.org.
Se il patching immediato non è possibile, valutare la disabilitazione temporanea di Windows Deployment Services sui sistemi non critici, riconoscendo l'impatto operativo sui processi di deployment.
Monitorare i log del servizio WDSServer per attività anomale di rete che possano indicare tentativi di exploit.

Il perimetro di esposizione e le versioni affette

La vulnerabilità non interessa tutti i sistemi Windows Server, ma solo quelli con Windows Deployment Services abilitato. Questo servizio è comunemente utilizzato per il deployment di immagini del sistema operativo in ambienti enterprise, rendendo i server di infrastruttura particolarmente esposti.

Il record CVE.org elenca build precise per cinque versioni di Windows Server: 2012, 2012 R2, 2016, 2019 e 2025. L'impatto è uniforme su tutte le versioni: esecuzione di codice arbitrario nel contesto SYSTEM senza autenticazione. La presenza di WDS in ambienti di rete interna non elimina il rischio, dato che CVE.org classifica il vettore come network-based (AV:N).

Chiusura editoriale

CVE-2026-62893 rappresenta una criticità concreta per le infrastrutture Windows Server che utilizzano Deployment Services. La combinazione di exploitability "More Likely", assenza di autenticazione e impatto SYSTEM impone un approccio di patching aggressivo. Il divario di scoring tra CVE.org e ZDI, pur non risolto nelle fonti, non attenua la gravità intrinseca della vulnerabilità: il vettore completo network-based con impatto tripla C-I-A impone la massima priorità operativa.

Le fonti primarie — advisory ZDI-26-544, record CVE.org e MSRC Microsoft — forniscono una base tecnica solida ma presentano limiti noti: la discrepanza di scoring non è spiegata, l'attribuzione della scoperta non è documentata e non esistono verifiche indipendenti aggiuntive. I team di sicurezza devono integrare queste informazioni con il proprio asset inventory e procedere al patching senza attendere chiarimenti supplementari.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti