Microsoft tappa CVE-2026-50656: il motore di Defender diventa…

Microsoft ha rilasciato il 9 luglio 2026 una patch out-of-band per CVE-2026-50656, vulnerabilità zero-day nel Microsoft Malware Protection Engine che consente

{"main_topic":"cybersecurity","topics":["cybersecurity","vulnerabilita","zero-day","microsoft","cve"]}

Microsoft ha rilasciato il 9 luglio 2026 una patch out-of-band per CVE-2026-50656, vulnerabilità zero-day nel Microsoft Malware Protection Engine che consente l'escalation dei privilegi locale fino a SYSTEM su Windows 10 e Windows 11. La falla, ribattezzata RoguePlanet dal ricercatore Nightmare Eclipse, ha reso il principale strumento di difesa dell'ecosistema Windows un vettore d'attacco sistematico: per quasi un mese, dal 10 giugno al 9 luglio, un exploit pubblicamente disponibile ha esposto milioni di endpoint senza che l'utente dovesse compiere alcuna azione maliziosa.

Punti chiave

La patch distribuisce il Microsoft Malware Protection Engine versione 1.1.26060.3008, che corregge una race condition di tipo time-of-check-to-time-of-use (TOCTOU) classificata CWE-59
Il vettore d'attacco sfrutta l'architettura SYSTEM-privileged di MsMpEng.exe: un processo con privilegi massimi risolve un percorso file, ne verifica la legittimità, ma l'operazione successiva non è atomica, consentendo la sostituzione via junction o symlink
Il PoC pubblicato il 10 giugno 2026 ha funzionato indipendentemente dallo stato della protezione in tempo reale, e Microsoft ha assegnato alla vulnerabilità un CVSS 3.1 di 7.8 (HIGH) con vettore AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
L'aggiornamento engine avviene automaticamente per impostazione predefinita, ma i sistemi air-gapped o con gestione manuale delle firme rimangono esposti fino a verifica esplicita

La race condition nel cuore del motore antimalware

Il meccanismo tecnico di RoguePlanet rivela una tensione strutturale dell'architettura Defender. Il servizio MsMpEng.exe, come tutti i motori antivirus tradizionali, necessita di privilegi elevati per scansionare file protetti e intervenire sul sistema operativo. Secondo TechTimes, questa concentrazione di potenza diventa vulnerabile quando il processo SYSTEM-privileged esegue operazioni su file non atomicamente: il motore verifica che un percorso sia legittimo, ma nel gap temporale tra il controllo e l'operazione effettiva un attaccante con accesso locale sostituisce il target.

La classificazione CWE-59 — Improper Link Resolution Before File Access — descrive esattamente questo scenario. Microsoft ha confermato nella propria advisory che l'ultima versione vulnerabile del motore è la 1.1.26050.11. La patch in 1.1.26060.3008 rende atomiche o indurisece le operazioni di risoluzione dei percorsi, chiudendo la finestra di race che Nightmare Eclipse ha reso pubblica.

L'asimmetria è brutale: l'attaccante non ha bisogno di privilegi iniziali elevati, né di interazione utente. Un account standard su Windows 10 o Windows 11 con gli aggiornamenti di giugno 2026 installati basta. Il ricercatore ha documentato tassi di successo variabili da macchina a macchina — "su alcune ho ottenuto il 100%, su altre faceva fatica", ha riferito a turbolab.it — ma la natura stessa della race condition non ne diminuisce la gravità sistemica.

"Riscrivere RoguePlanet per renderlo di nuovo funzionante mi ha prosciugato l'anima. Non sono riuscito a completare gli altri scenari e per ora non è chiaro se RoguePlanet sia limitato a LPE o se esista un modo per trasformarlo in un RCE"
— Nightmare Eclipse (via turbolab.it)

Ventinove giorni di esposizione con exploit pubblico

La timeline di RoguePlanet misura un intervallo preciso: 29 giorni tra la pubblicazione del PoC e il rilascio della patch. Questa finestra, calcolata da TechTimes, posiziona l'incidente in una zona di rischio elevato nella gestione delle vulnerabilità Microsoft. Il ricercatore ha pubblicato il codice dimostrativo il 10 giugno 2026; Microsoft ha distribuito la correzione il 9 luglio, anticipando il Patch Tuesday regolare del 14 luglio con un aggiornamento out-of-band.

La valutazione di Microsoft sul campo exploitation è "More Likely", ma l'azienda non conferma exploitation attiva in-the-wild al momento della patch. La distinzione è rilevante: la probabilità è giudicata alta, ma non verificata. Resta il fatto che per quasi un mese un attaccante con accesso fisico o remoto a una sessione utente standard poteva elevare i propri privilegi fino al controllo totale del sistema, sfruttando proprio il componente che dovrebbe impedire compromissioni simili.

Windows Server risulta tecnicamente vulnerabile secondo la fonte primaria, ma il PoC specifico non funziona su quei sistemi perché gli utenti standard non possono montare immagini ISO — una limitazione del codice dimostrativo, non dell'architettura sottostante. La condizione di esponibilità, invece, è netta: i sistemi con Defender disabilitato non sono vulnerabili, come confermano sia Microsoft sia Malwarebytes.

Il pattern Nightmare Eclipse e la pressione sul disclosure

L'identità dietro gli handle Nightmare Eclipse, Chaotic Eclipse e Nightmare-Eclipse rimane sconosciuta, ma il pattern operativo è documentato. Secondo TechTimes, dal mese di aprile 2026 il ricercatore ha pubblicato sette zero-day nel motore di Defender, con tre exploit precedentemente inseriti nel catalogo CISA KEV (BlueHammer, RedSun, UnDefend). Ensar Seker, CISO di SOCRadar, ha osservato a Dark Reading che questa cadenza "riduce il tempo a disposizione dei difensori prima che gli attaccanti possano iniziare a weaponizzare la ricerca".

Il rapporto tra Nightmare Eclipse e Microsoft appare conflittuale. La minaccia pubblica di rilasciare nuovi exploit il 14 luglio 2026 — data del Patch Tuesday successivo — non è verificata come impegno effettivo, ma inserisce il caso in una dinamica più ampia di coordinated disclosure sotto pressione. Il ricercatore ha anche riferito di un "leak di 8 bytes" introdotto dai defense-in-depth updates precedenti, limitato per ora a driver e non accessibile come utente standard, un dettaglio che Microsoft non ha commentato esplicitamente nella propria advisory.

La variante RCE originale di RoguePlanet, citata da turbolab.it, è stata mitigata da Microsoft in un aggiornamento silenzioso a metà maggio 2026 — un intervento non corroborato dalle fonti primarie ufficiali nel dettaglio temporale, ma coerente con la natura della PoC attuale, che opera come LPE puro.

Cosa fare adesso

Verificare la versione del Microsoft Malware Protection Engine: aprire Windows Security, selezionare Impostazioni (icona ingranaggio), Informazioni, e controllare che la versione motore sia 1.1.26060.3008 o successiva; su sistemi enterprise, verificare tramite strumenti di gestione endpoint che l'aggiornamento engine sia propagato a tutte le macchine
Prioritizzare l'ispezione dei sistemi air-gapped, dei server con aggiornamenti firmati manuali e dei dispositivi con policy di deferimento degli update, dove l'auto-update del motore potrebbe non essere avvenuto entro le 48 ore dalla pubblicazione della patch
Confermare che il servizio Microsoft Defender Antivirus sia attivo: i sistemi con Defender disabilitato non sono esposti a questa specifica vulnerabilità, ma questa condizione espone a rischi diversi e non costituisce mitigazione consigliata
Monitorare i log di sicurezza per attività anomale di processi SYSTEM che interagiscono con file system junction o mount point non documentati, indicatore potenziale di tentativi di sfruttamento della race condition

L'antivirus come superficie d'attacco: un paradosso crescente

RoguePlanet non è un bug isolato. È l'esposizione più recente di un paradosso architetturale: il software che necessita di vedere tutto e controllare tutto diviene, per quella stessa ragione, il punto più pericoloso da compromettere. Il motore antimalware non è un componente tra tanti: è un kernel di sistema operativo parallelo, con privilegi che superano quelli dell'amministratore, che scansiona ogni file, intercetta ogni I/O, e ora — documentatamente — può essere ricondizionato contro chi lo ospita.

La campagna di Nightmare Eclipse, con la sua cadenza quasi mensile, sta stressando questo modello fino alle conseguenze logiche. Ogni patch rilasciata da Microsoft chiude una falla, ma non risolve la tensione strutturale: finché l'antivirus richiederà privilegi SYSTEM per funzionare, ogni bug di file handling sarà potenzialmente un'escalation totale. Il dibattito su architetture con sandboxing, privilege separation e modelli di minima autorizzazione per i motori di scansione — già attivo nel settore — trova in RoguePlanet un caso studio concreto e ripetuto.

Per le organizzazioni, la lezione operativa è immediata: la gestione degli aggiornamenti engine non può più essere considerata secondaria rispetto alle patch del sistema operativo. Il motore di Defender si aggiorna autonomamente, ma questa autonomia stessa — e i suoi limiti in ambienti controllati — è diventata un perimetro critico.

Domande frequenti

Perché è necessario verificare manualmente la versione del motore se l'aggiornamento è automatico? L'aggiornamento del Microsoft Malware Protection Engine avviene in background senza azione utente, ma dipende dalla connettività e dalle policy di gestione degli update. In ambienti enterprise con WSUS, SCCM o sistemi air-gapped, la distribuzione può essere ritardata o bloccata da configurazioni di approvazione manuale.

Defender disabilitato significa sicuro da RoguePlanet ma esposto ad altri rischi: come si concilia? La fonte conferma che Defender disabilitato elimina la superficie d'attacco per questa CVE, ma non documenta alcuna raccomandazione di disabilitare l'antivirus come mitigazione. La scelta tra esposizioni diverse resta una decisione di architettura di sicurezza che esula dai fatti verificati del dossier.

Qual è la differenza tra la variante RCE originale e la PoC LPE pubblicata? Secondo turbolab.it, Microsoft ha mitigato la variante RCE in un intervento a metà maggio 2026. La PoC del 10 giugno opera come escalation dei privilegi locale, non come esecuzione remota di codice. Nightmare Eclipse ha dichiarato di non aver completato gli scenari aggiuntivi per determinare se percorsi RCE persistano.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti