Microsoft lascia aperta una zero-day Windows: furto credenziali NTLM senza patch

La Zero Day Initiative ha pubblicato il 16 settembre 2026 l'advisory ZDI-26-708 su una vulnerabilità zero-day in Microsoft Windows che consente l'esfiltrazione di risposte NTLM nel contesto dell'account macchina. Microsoft, dopo aver confermato inizialmente la correzione per settembre 2026, ha comunicato il 31 agosto che la falla non raggiungeva la soglia per il security servicing. La decisione lascia le aziende con un'unica mitigazione ufficiale: limitare l'interazione con il prodotto.

Come funziona l'attacco: dal proxy malevolo al furto di credenziali macchina

La falla risiede nel componente di autenticazione Windows verso server proxy HTTP. Un attaccante che abbia già ottenuto l'esecuzione di codice a basso privilegio sul sistema target modifica l'impostazione proxy per puntare a un server sotto il proprio controllo. Da quel momento, le risposte NTLM vengono divulgate nel contesto dell'account macchina.

"By changing the proxy setting to point to a malicious server, an attacker can disclose NTLM responses in the context of the machine account" — ZDI Advisory ZDI-26-708

Il meccanismo non richiede privilegi elevati iniziali: l'attaccante opera con permessi limitati e sfrutta la configurazione di sistema per intercettare traffico autenticato. Le risposte NTLM catturate possono essere riutilizzate per accedere a risorse normalmente protette dall'utente, aprendo a movimento laterale all'interno della rete aziendale.

La timeline di una chiusura: da conferma a rifiuto in quattro mesi

La vulnerabilità è stata segnalata a Microsoft il 7 maggio 2026. Il vendor ha riconosciuto la ricezione della segnalazione nella stessa data. Inizialmente, la falla era prevista per la correzione nella release di settembre 2026. Il 31 agosto 2026 Microsoft ha comunicato a ZDI che la vulnerabilità "did not meet the bar for security servicing".

ZDI ha notificato al vendor il 3 settembre 2026 l'intenzione di procedere alla divulgazione pubblica. L'advisory è stato pubblicato il 16 settembre 2026 con classificazione 0-day. Il punteggio CVSS assegnato da ZDI è 5.3, secondo l'entry ZDI-CAN-29849 nella lista delle advisory pubblicate.

Il campo CVE nell'advisory è vuoto. Nessun identificatore CVE risulta assegnato al momento della pubblicazione. Il vettore CVSS completo non è stato fornito dalla fonte.

Perche è importante

Il dossier non specifica versioni precise di Windows interessate dalla vulnerabilità. Non emergono evidenze di exploit in-the-wild al momento della pubblicazione. La motivazione esatta dietro la soglia di servicing di Microsoft resta non dichiarata: il termine non è definito nell'advisory e il vendor non ha fornito criteri pubblici per questa classificazione.

Il brief non documenta misure correttive specifiche oltre alla mitigazione generica indicata da ZDI. La natura esatta delle risorse "normally protected from the user" cui l'attaccante potrebbe accedere con le credenziali esfiltrate non è dettagliata nella fonte. Il dossier non specifica se esistano condizioni di attivazione particolari o configurazioni proxy che escludano il sistema dalla vulnerabilità.

Cosa resta fuori dalla patch: il problema della soglia di servicing

La decisione di Microsoft solleva una questione strutturale sulla governance delle vulnerabilità in prodotti enterprise. Un difetto che consente il furto di credenziali dell'account macchina — elemento centrale nell'autenticazione interna dei domini Windows — viene classificato come sotto la soglia di intervento. ZDI ha comunque assegnato alla falla un punteggio CVSS 5.3, nella fascia media della scala, che non ne esclude la pericolosità in contesti aziendali dove il proxy HTTP è configurato.

La mancanza di un CVE assegnato complica il tracciamento formale della vulnerabilità nei sistemi di gestione del rischio. Le aziende che si affidano a database standard per la prioritizzazione delle patch non troveranno un identificatore unico per questa falla, se non il codice ZDI-26-708.

Cosa fare adesso

Secondo la fonte citata, l'unica mitigazione saliente è:

• Limitare l'interazione con il prodotto vulnerabile dove possibile

ZDI non ha pubblicato ulteriori raccomandazioni operative specifiche nell'advisory. Il brief non documenta misure tecniche aggiuntive come restrizioni sulle modifiche alle impostazioni proxy, controlli di integrità sulle configurazioni di sistema, o monitoraggio delle autenticazioni NTLM. Non emergono indicazioni da parte del vendor o del ricercatore su eventuali workaround temporanei.

FAQ

Qual è la differenza tra un advisory ZDI e un CVE standard?

ZDI opera un programma di coordinamento delle divulgazioni vulnerabilità indipendente dal sistema CVE del MITRE/NVD. Le advisory ZDI possono essere pubblicate anche senza assegnazione di CVE, come nel caso di ZDI-26-708, mantenendo comunque valore di riferimento tecnico e timeline verificabile.

Perché Microsoft può rifiutare di patchare una vulnerabilità confermata?

La fonte non specifica i criteri interni del vendor. Il termine "security servicing bar" non è definito nell'advisory e non risulta documentato in criteri pubblici allegati al provvedimento citato.

Il punteggio CVSS 5.3 rende la vulnerabilità trascurabile?

Il punteggio CVSS misura la severità tecnica secondo una formula standardizzata, non il rischio aziendale contestuale. In ambienti enterprise dove il proxy HTTP è diffuso e le credenziali macchina abilitano accesso a risorse di dominio, l'impatto operativo può eccedere la valutazione puramente tecnica.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-708/
• http://www.zerodayinitiative.com/advisories/published/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti