Microsoft: due zero-day nel Patch Tuesday, il CVSS 5.3 è più pericoloso del 7.8

Il 14 luglio 2026 Microsoft ha rilasciato il suo Patch Tuesday più pesante dell'anno, con 570 CVE totali. Tra questi, due zero-day sfruttati attivamente: CVE-2026-56164 su SharePoint Server e CVE-2026-56155 su Active Directory Federation Services. Entrambi sono elevation-of-privilege, entrambi sono stati scoperti durante risposte a incidenti reali, e nessuno dei due ha un profilo di rischio che il punteggio CVSS racconta da solo.

Il CVSS 5.3 che non ti aspetti: SharePoint senza autenticazione

Secondo il record ufficiale CVE.org, CVE-2026-56164 ha un punteggio CVSS 3.1 di 5.3 (MEDIUM). La formula classifica così perché l'impatto è limitato a integrità parziale (I:L), senza disponibilità né riservatezza. Ma il vettore d'attacco è AV:N/AC:L/PR:N/UI:N: rete, bassa complessità, nessun privilegio richiesto, nessuna interazione utente. In altre parole, chiunque raggiunga il server via rete può innescare la vulnerabilità.

La CWE associata è la 306: Missing Authentication for Critical Function. Il record CVE descrive esplicitamente un attacco che permette a un attaccante non autorizzato di elevare privilegi via rete. La bassa severity formale nasconde una superficie d'attacco esposta a Internet, tipica delle installazioni on-premises di SharePoint Server 2019, Subscription Edition e versioni 2016/Enterprise 2016.

Secondo Tech Insider, il gap tra punteggio e rischio reale è "la storia più importante sepolta in questo rilascio". SOC Prime conferma che non esistono PoC pubblici né IOC dettagliati, il che non allenta la minaccia: l'exploitation attiva è documentata da CISA e ZDI senza necessità di proof-of-concept accessibile.

AD FS: l'osso più duro nell'infrastruttura identità

CVE-2026-56155 porta CVSS 7.8 (HIGH) ed è classificato CWE-1220: Insufficient Granularity of Access Control. Il vettore è AV:L/PR:L/UI:N: accesso locale, privilegi bassi richiesti, nessuna interazione. La differenza con il primo CVE è la postazione: qui l'attaccante deve già avere un foothold nella macchina AD FS.

Il target è il Distributed Key Manager container, componente che gestisce materiali crittografici per la federazione delle identità. Secondo Tech Insider, "un bug di privilege escalation lì non è un problema secondario. È una chiave scheletrica". L'impatto SSVC dell'NVD classifica exploitation come "active" e technical impact come "total": l'automazione non è possibile, ma una volta che l'attaccante è dentro, il controllo è totale.

Microsoft ha accreditato il proprio DART (Detection and Response Team) con Jeremy Kingston e Scott Clark. Tech Insider sottolinea che "i ricercatori DART trovano vulnerabilità mentre rispondono a breach attivi, non mentre cacciano bug in un laboratorio". La citazione integrale è inequivocabile: "ciò suggerisce fortemente che clienti reali erano già compromessi prima che Microsoft capisse cosa li avesse colpiti".

"DART is an incident-response unit. Its researchers typically find vulnerabilities while responding to active breaches, not while hunting for bugs in a lab. That strongly suggests real customers were already compromised before Microsoft understood what hit them."

Disallineamento punteggio-rischio: perché il MEDIUM è più urgente

Il CVSS 3.1 misura la gravità tecnica dell'impatto, non la probabilità di exploitation né la criticità dell'asset. CVE-2026-56164 ha impatto "MEDIUM" perché la formula premia la mancanza di riservatezza e disponibilità: solo integrità parziale. Ma la combinazione di accesso remoto, assenza di credenziali e assenza di interazione utente lo rende operativamente più pericoloso del 7.8 locale.

Per le aziende con SharePoint Server esposto, il 5.3 significa che i filtri di priorità automatici potrebbero depennare la patch. È un errore costoso: CISA ha imposto agenzie federali USA di patchare entro il 28 luglio 2026, appena 14 giorni dal rilascio. La finestra è breve perché l'exploitation è già avvenuta in-the-wild, anche se la data precisa di inizio non è documentata.

Per CVE-2026-56155, il 7.8 aiuta a non sottovalutare la patch, ma il requisito di accesso locale lo rende meno urgente per la prima linea di difesa. Diventa critico nel momento in cui l'attaccante abbia già compromesso un endpoint: da lì, l'escalation AD FS apre SSO, trust federato e accesso a risorse cloud ibride.

Cosa fare adesso

Microsoft ha rilasciato le patch il 14 luglio 2026. Per entrambi i CVE, la priorità è la correzione tempestiva, ma con sfumature diverse:

• Patchare SharePoint Server on-premises immediatamente, indipendentemente dal punteggio CVSS 5.3: la superficie remota e senza autenticazione non ammette ritardi.
• Applicare il fix AD FS che include hardening delle ACL sul Distributed Key Manager container, oltre alla patch binaria.
• Verificare che i sistemi SharePoint non siano esposti direttamente a Internet senza controlli di accesso perimetrali, anche se la vulnerabilità colpisce l'applicazione stessa.
• Attivare AMSI Full Mode su SharePoint come controllo aggiuntivo complementare al patching, secondo la raccomandazione di SOC Prime.

Per gli enti federali USA, la deadline CISA del 28 luglio 2026 è vincolante. Per il settore privato, la pressione supply chain e la documentazione di exploitation attiva rendono la tempistica altrettanto stringente.

Quando il rischio non sta nel numero

Il Patch Tuesday di luglio 2026 mette in luce un problema sistemico della gestione vulnerabilità: il CVSS come filtro automatico di priorità. CVE-2026-56164 dimostra che un punteggio medio può nascondere il percorso di ingresso più pericoloso, quello che non richiede credenziali né interazione. CVE-2026-56155 dimostra che un punteggio alto diventa esplosivo quando si trova nel componente sbagliato: l'infrastruttura identità.

La scoperta da parte di team di incident response, non di ricerca proattiva, è il segnale più rilevante. Significa che gli attaccanti avevano già mapped queste vulnerabilità e le stavano sfruttando prima che Microsoft le riconoscesse. Il ritardo tra exploitation e patch è ignoto; il dato che resta è che le difese erano già state superate.

Il dossier non specifica se i due CVE siano stati usati in catena dallo stesso attore o in campagne separate. La relazione è ipotetica: la combinazione logica di ingresso remoto via SharePoint e escalation via AD FS è plausibile, ma non documentata nelle fonti disponibili. Finché nuove evidenze non emergono, restano due storie parallele con un denominatore comune: la scoperta durante il fuoco, non prima.

Domande frequenti

Fonti

• https://socprime.com/it/blog/cve-2026-56164-e-cve-2026-56155-analisi/
• https://socprime.com/blog/cve-2026-56164-and-cve-2026-56155-analysis/
• https://www.cve.org/CVERecord?id=CVE-2026-56164
• https://nvd.nist.gov/vuln/detail/CVE-2026-56155
• https://www.cve.org/CVERecord?id=CVE-2026-56155
• https://tech-insider.org/microsoft-patch-tuesday-july-2026-zero-days/
• https://www.thezdi.com/blog/2026/7/14/the-july-2026-security-update-review
• https://www.cve.org/CVERecord/UserGuide
• https://nvd.nist.gov/vuln
• https://nvd.nist.gov/vuln/categories
• https://nvd.nist.gov/vuln/data-feeds