Microsoft lascia 0-day aperta: rifiuta patch per escalation HTTP Proxy

Il 16 settembre 2026 Trend Micro ha reso pubblica ZDI-26-708, una vulnerabilità zero-day in Microsoft Windows HTTP Proxy che consente escalation di privilegi locale. La notizia non è la scoperta in sé, ma il dietrofront del vendor: Microsoft aveva confermato a giugno che avrebbe corretto la falla nel Patch Tuesday di settembre, poi il 31 agosto ha comunicato a ZDI che la vulnerabilità «non soddisfa i criteri per il security servicing». Risultato: una 0-day documentata, con CVSS 5.3, e nessuna correzione all'orizzonte.

Il meccanismo: da proxy dirottato a NTLM dell'account macchina

La falla risiede nella gestione dell'autenticazione verso i server proxy HTTP. Come documenta l'advisory ZDI, un attaccante che abbia già ottenuto l'esecuzione di codice a basso privilegio sul sistema target può modificare l'impostazione proxy per puntarla a un server sotto suo controllo.

Da quel momento, le richieste di autenticazione NTLM generate dal sistema vengono indirizzate al server malevolo, che le cattura. L'advisory specifica che le risposte NTLM vengono divulgate «in the context of the machine account». Il brief classifica la vulnerabilità come privilege escalation.

L'attacco richiede accesso locale: non è una vulnerabilità remota e non consente l'ingresso iniziale in un sistema. Costituisce uno strumento di post-compromissione in ambienti multi-utente o terminal server, dove un attaccante già presente cerca di espandere i propri privilegi.

"By changing the proxy setting to point to a malicious server, an attacker can disclose NTLM responses in the context of the machine account." — ZDI Advisory ZDI-26-708

La timeline di un rifiuto: ~4 mesi dalla segnalazione alla disclosure

ZDI ha segnalato la vulnerabilità a Microsoft il 7 maggio 2026. Il vendor ha riconosciuto la ricezione nella stessa data. Il 2 giugno 2026, Microsoft ha confermato che avrebbe rilasciato una correzione nel ciclo di patch di settembre 2026.

Il 31 agosto 2026, Microsoft ha comunicato a ZDI che la vulnerabilità «did not meet the bar for security servicing». Non è emerso dal dossier quale criterio specifico sia stato invocato. Ciò che risulta documentato è il risultato: nessuna patch, advisory pubblicata come 0-day il 16 settembre 2026.

La disclosure ZDI include dettagli tecnici sul componente vulnerabile, il vettore proxy e la meccanica NTLM. Non risultano nel brief dimostrazioni di exploit pubbliche o conferme di sfruttamento in campo. La timeline completa mostra un percorso segnato da promessa e ritiro.

Perché il CVSS 5.3 non racconta tutto

Il punteggio CVSS 5.3, tratto dalla tabella ZDI pubblicata e non dal corpo testuale dell'advisory, colloca la vulnerabilità nel range medio-basso. La classificazione riflette il prerequisito di accesso locale e la complessità dell'attacco.

Per i difensori, il problema è la combinazione del vettore con altre tecniche di movimento laterale. Un attaccante che abbia già compromesso un endpoint trova in ZDI-26-708 uno strumento per elevare il proprio accesso nel contesto dell'account macchina.

L'account macchina gode di privilegi superiori rispetto a un utente standard. La cattura delle risposte NTLM in questo contesto apre scenari di escalation che il punteggio CVSS da solo non rende evidente. La fonte non specifica se Microsoft abbia fornito o fornirà mitigazioni alternative.

Cosa fare adesso

L'unica indicazione operativa presente nell'advisory ZDI è limitare l'interazione con il prodotto. La fonte non specifica misure tecniche aggiuntive. Per gli amministratori di sistema, questa genericità lascia ampio margine di valutazione.

Le organizzazioni che operano in ambienti multi-utente dovrebbero monitorare le configurazioni proxy sui sistemi Windows. Eventuali modifiche non autorizzate alle impostazioni di rete rappresentano un indicatore rilevante. La verifica periodica delle impostazioni proxy, specialmente su server terminal e workstation condivise, costituisce un controllo sensato.

La mancanza di patch rende impraticabile l'approccio standard di remediation. I team di sicurezza devono valutare i controlli compensativi sulla base dell'architettura specifica del proprio ambiente, senza poter contare su una correzione ufficiale.

Limiti della fonte e contesto

L'analisi si basa esclusivamente sull'advisory ZDI-26-708, unica fonte primaria strutturata disponibile. Non sono disponibili conferme indipendenti né dettagli da Microsoft. Le versioni specifiche di Windows interessate non sono dettagliate nell'advisory.

Non risultano exploit pubblici o conferme di sfruttamento in campo. L'applicazione retroattiva del security servicing bar — da conferma di patch a rifiuto — solleva questioni sulla trasparenza dei criteri decisionali di Microsoft. Questa è una questione sollevata dall'articolo, non documentata nel brief.

Il caso ZDI-26-708 si inserisce in un contesto più ampio di vulnerabilità Windows rimaste senza correzione. La decisione di Microsoft di non patchare, pur riconoscendo la vulnerabilità, riflette una politica di security servicing che i ricercatori stanno monitorando. Per il momento, la 0-day resta documentata ma non risolta.

Fonte: Zero Day Initiative – Advisory ZDI-26-708

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-708/
• https://www.zerodayinitiative.com/advisories/published/