La Zero Day Initiative ha pubblicato il 24 agosto 2026 l'advisory ZDI-26-606, che documenta una vulnerabilità di escalation dei privilegi locali nel Microsoft Windows Compatibility Appraiser. Il difetto permette a un attaccante con accesso LOCAL SERVICE di ottenere privilegi SYSTEM attraverso la manipolazione di link simbolici in un task di manutenzione automatica. Microsoft ha rilasciato un aggiornamento correttivo nel corso del ciclo di patch di agosto.
- La vulnerabilità ZDI-26-606 interessa il Microsoft Compatibility Appraiser Exp scheduled task, componente di sistema eseguito con privilegi elevati
- Il meccanismo di attacco è il link following: un attaccante con accesso LOCAL SERVICE crea symbolic link per indurre il task a cancellare file arbitrari con privilegi SYSTEM
- L'impatto include esecuzione di codice arbitrario nel contesto SYSTEM, il massimo privilegio su Windows
- Il ciclo di disclosure è durato circa 8 mesi: segnalazione a Microsoft il 23 dicembre 2025, release coordinata il 24 agosto 2026
Il meccanismo: come un task di telemetry diventa vector di attacco
Il Microsoft Compatibility Appraiser è un componente di sistema che raccoglie dati diagnostici per la telemetry e la valutazione della compatibilità applicativa. Il task Microsoft Compatibility Appraiser Exp viene eseguito automaticamente con privilegi elevati, tipicamente nel contesto di sistema.
Secondo l'advisory ZDI-26-606, il difetto specifico risiede nella gestione dei percorsi file durante l'esecuzione di questo scheduled task. L'advisory documenta che «by creating a symbolic link, an attacker can abuse the service to delete arbitrary files». Il task, eseguito con privilegi superiori a quelli dell'attaccante, segue il link simbolico e opera sul file target senza convalida adeguata del percorso risolto.
La cancellazione arbitraria di file con privilegi SYSTEM costituisce il primo stadio di un'escalation più ampia. L'advisory conferma che l'impatto finale include l'esecuzione di codice arbitrario nel contesto SYSTEM, ottenibile concatenando la cancellazione con altre primitive di sistema. Questa è una catena classica nelle escalation di privilegi Windows: l'abuso di un'operazione su file fidato per preparare il terreno a un re-exploitation.
«This vulnerability allows local attackers to escalate privileges on affected installations of Microsoft Windows.» — ZDI-26-606 advisory
La barriera di ingresso: LOCAL SERVICE, non amministratore
Il prerequisito per sfruttare la vulnerabilità è preciso e limitato: «An attacker must first obtain the ability to execute low-privileged code in the context of LOCAL SERVICE on the target system». Questa è una differenza strutturale rispetto alle LPE che richiedono un utente interattivo o privilegi amministrativi.
LOCAL SERVICE è un account di servizio predefinito di Windows con privilegi minimi, utilizzato da numerosi processi di sistema e applicazioni di terze parti. La compromissione di un servizio che gira in questo contesto — tramite un'altra vulnerabilità, una configurazione errata o un componente vulnerabile — fornisce all'attaccante il punto di partenza necessario. Da LOCAL SERVICE a SYSTEM il salto è abituale nelle catene di post-exploitation; ZDI-26-606 lo rende diretto e affidabile.
Per le architetture multi-tenant e i servizi condivisi, questo profilo è particolarmente rilevante. L'isolation tra servizi che condividono lo stesso host fisico si indebolisce quando un account con privilegi limitati ma diffusi può essere promosso a SYSTEM senza interazione utente.
Timeline e disclosure: otto mesi dal report alla patch
L'advisory ZDI-26-606 documenta una timeline di disclosure coordinata. La vulnerabilità è stata segnalata a Microsoft il 23 dicembre 2025. La release pubblica dell'advisory è avvenuta il 24 agosto 2026, a circa 8 mesi di distanza. Microsoft ha emesso un aggiornamento correttivo nel frattempo; l'advisory specifica che «Microsoft has issued an update to correct this vulnerability».
Il periodo di esposizione tra segnalazione e patch disponibile rappresenta la finestra di rischio operativo per gli utenti che non applicano tempestivamente gli aggiornamenti. L'advisory non specifica se la vulnerabilità sia stata sfruttata attivamente durante questo intervallo; nessuna informazione su exploitation in-the-wild è presente nel dossier.
Non emergono nel brief dettagli sul KB specifico o sulle versioni di Windows interessate. L'advisory si riferisce genericamente a «affected installations of Microsoft Windows», senza distinguere tra edizioni client, server o build specifiche. Questo è un limite rilevante per la prioritizzazione operativa: gli amministratori devono verificare autonomamente l'applicabilità del patch sui propri sistemi.
Cosa fare adesso
Le seguenti azioni derivano direttamente dai fatti documentati nell'advisory e dal contesto della vulnerabilità:
- Verificare che il sistema abbia ricevuto l'aggiornamento Microsoft di agosto 2026 che corregge la vulnerabilità nel Compatibility Appraiser, confermando la presenza del fix rispetto alla baseline pre-patch
- Rivendicare la comprensione di quali servizi eseguono nel contesto LOCAL SERVICE nell'infrastruttura, per mappare la superficie di rischio derivante da eventuali compromissioni parziali
- Analizzare i log di esecuzione del task Microsoft Compatibility Appraiser Exp per identificare anomalie nei pattern di accesso ai file o nella risoluzione dei percorsi
- Valutare la possibilità di disabilitare temporaneamente il task di Compatibility Appraiser dove non essenziale per la compliance, in attesa di conferma dell'applicazione della patch
La lettura: quando i task invisibili diventano invisibili anche alla sicurezza
Il Compatibility Appraiser appartiene a quella categoria di componenti di sistema che operano below the radar: non sono endpoint esposti, non ricevono traffico di rete, non richiedono configurazione amministrativa. La loro invisibilità operativa si traduce spesso in invisibilità per i programmi di vulnerability management. ZDI-26-606 dimostra che questa cieca fiducia è costosa.
L'uso del link following come primitive di attacco non è tecnicamente sofisticato, ma è efficace perché sfrutta un pattern ricorrente: processi fidati che operano su path controllabili da attori con privilegi inferiori. La robustezza di un sistema Windows si misura anche nella capacità di isolare i task di manutenzione automatica da manipolazioni del filesystem, un controllo che qui è venuto meno.
Per i team di sicurezza, il caso solleva una questione di governance: quanti scheduled task con privilegi elevati sono stati auditati per vulnerabilità di race condition e link following negli ultimi dodici mesi? L'advisory non risponde a questa domanda, ma la rende inaggirabile.
Domande frequenti
La vulnerabilità richiede accesso fisico alla macchina?
No. Il brief documenta che è necessario eseguire codice nel contesto LOCAL SERVICE, che può essere ottenuto compromettendo un servizio vulnerabile o mal configurato, senza richiedere accesso fisico o interattivo al sistema.
È possibile verificare se il proprio sistema è vulnerabile?
L'advisory non fornisce indicatori di compromesso o metodi di detection specifici. Gli amministratori possono verificare l'applicazione della patch di agosto 2026 attraverso i meccanismi standard di Windows Update, ma il KB specifico non è indicato nella fonte.
Perché l'advisory non riporta CVE o punteggio CVSS?
Il dossier non contiene un identificativo CVE assegnato né un punteggio CVSS. Questo è documentato esplicitamente nella sezione UNKNOWN/LIMITI del brief come informazione non presente nell'estrazione ZDI.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-606/
- http://www.zerodayinitiative.com/advisories/published/
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.