Una regressione nel codice Microsoft espone Windows Server al crash remoto con

14 ottobre 2026 — Redazione DeafNews

Il 13 ottobre 2026 i ricercatori di Corelight hanno reso pubblica una vulnerabilità zero-day nel driver kernel mup.sys di Windows Server che permette a un attaccante in rete di innescare un Blue Screen of Death con un singolo pacchetto malformato. La falla, tracciata come CVE-2026-70111, colpisce le build server di Microsoft ma non Windows 10: un pattern di divergenza del codebase che le fonti attribuiscono alla rimozione accidentale di controlli di validazione presenti nelle versioni consumer del sistema operativo.

Il meccanismo del crash: da un offset malformato al null-pointer nel kernel

La vulnerabilità si attiva nel percorso di elaborazione delle risposte DFS referral. Quando il campo ReferralEntryFlags contiene il valore 0x0002, il driver segue il percorso di espansione del nome tramite PktExpandSpecialEntryFromReferral(). Secondo la ricerca di Corelight, riportata da GBHackers e CyberPress, il campo ExpandedNameOffset in una struttura DFS_REFERRAL_V3 malformata può puntare a una stringa WCHAR vuota.

A questo punto la chiamata a wcslen() su quel puntatore genera un null-pointer dereference in kernel mode. Il risultato è un BSOD immediato, non una degradazione controllata del servizio. La criticità deriva dalla localizzazione del bug: mup.sys è un driver del kernel, quindi il crash interrompe l'intero sistema.

L'interfaccia coinvolta è NetDFS, identificata dall'UUID 4fc742e0-4a10-11cf-8273-00aa004ae673. Il driver emette richieste FSCTL_DFS_GET_REFERRALS verso il domain controller: se la risposta viene intercettata o fornita da un server SMB rogue, il payload malformato raggiunge il kernel senza ulteriori validazioni.

"attackers with network access crash affected systems with a single malicious DFS referral response" — ricercatori Corelight via GBHackers

La regressione: perché il server è meno protetto del desktop

Il dato più rilevante per la lettura tecnica non è il crash in sé, ma il motivo per cui avviene. Secondo Corelight, "earlier Windows versions included checks to ensure the expanded name contained at least one character; however, the affected server builds lacked this safeguard". In altre parole: il controllo esisteva, è stato rimosso o non è stato portato correttamente nel ramo server del codebase.

Questa divergenza introduce una categoria di rischio distinta dalla vulnerabilità classica. Non si tratta di un bug nuovo, ma di un difetto di manutenzione del codice — una regressione strutturale tra build consumer e build enterprise. Le organizzazioni che distribuiscono Windows Server per servizi DFS si trovano esposte a una superficie di attacco che le versioni desktop dello stesso sistema operativo non presentano.

La citazione di Corelight tramite CyberPress chiarisce un punto tecnico facilmente fraintendibile: "the single-packet description refers to the crash-triggering response, not the entire attack sequence: attackers must first coerce the target into communicating with an attacker-controlled SMB server". L'exploit non è un attacco one-click da internet, ma un'escalation in due fasi: coercizione iniziale, poi crash.

Condizioni di attacco e riproducibilità

I ricercatori hanno dimostrato che non sono necessari privilegi amministrativi né accesso a un domain controller legittimo. Come riporta Corelight via GBHackers: "attackers do not need administrative privileges or access to a legitimate domain controller to exploit this vulnerability". L'attaccante deve trovarsi in posizione di intercettare o reindirizzare il traffico DFS, tipicamente nella rete interna o in segmenti laterali.

I log di sistema dopo lo shutdown inatteso mostrano gli eventi ID 41 e 6008: questi indicatori permettono ai team operativi di correlare crash ripetuti con la stessa root cause. La riproducibilità è risultata completa nei test: 11 su 11 su Windows Server 2022, 3 su 3 su Windows Server 2019. Non si tratta di una condizione di race o di un trigger instabile.

Cosa fare adesso

Microsoft ha rilasciato le patch nell'aggiornamento di ottobre 2026. Le priorità operative per i team di sicurezza con infrastrutture Windows Server attive su DFS sono:

• Applicare immediatamente le patch di ottobre 2026 sui server DFS-attivi, con priorità per i sistemi Windows Server 2019, 2022 e 2025 esposti alla rete interna
• Monitorare il traffico SMB2 interno verso endpoint che presentano l'UUID NetDFS 4fc742e0-4a10-11cf-8273-00aa004ae673, con attenzione alle risposte referral anomale
• Verificare la presenza negli eventi di sistema degli ID 41 e 6008 in cluster temporali ravvicinati, che possono indicare tentativi di exploit
• Valutare l'implementazione delle signature di rilevamento Suricata/Zeek sviluppate da Corelight per l'analisi del traffico DFS

Non è emersa al momento della disclosure evidenza di exploitazione attiva nel campo. Questo non attenua l'urgenza della patch: la riproducibilità totale e l'assenza di requisiti privilegiati rendono la vulnerabilità attrattiva per attacchi di interruzione di servizio mirati, specialmente in ambienti dove la disponibilità dei server DFS è critica.

Il problema del backporting difettoso

La vicenda di CVE-2026-70111 solleva una questione architetturale che va oltre il singolo bug. Quando un codebase si ramifica in varianti consumer e server, la sincronizzazione dei controlli di sicurezza non è automatica né verificabile senza audit espliciti. In questo caso, il controllo su ExpandedNameOffset è sopravvissuto in Windows 10 ma non nelle build server: un esempio concreto di come la complessità della manutenzione del codice legacy possa generare vulnerabilità evitabili.

Per i decisori tecnici, il segnale è duplice. Da un lato, la patch è disponibile e la procedura è standard. Dall'altro, la vulnerabilità si svolge lateralmente: la perimetrale non basta, e la visibilità sul traffico interno SMB2 diviene un requisito di detection. Il crash del kernel non lascia margini di tolleranza: non è un servizio che cade, è l'host che si spegne.

Il dossier non specifica se altri percorsi di attivazione esistano oltre DFS, né se la vulnerabilità possa essere estesa a Remote Code Execution. Manca inoltre un advisory Microsoft diretto che confermi indipendentemente i dettagli tecnici riportati da Corelight. Questi limiti non alterano la solidità della ricerca pubblicata, ma segnalano aree dove la documentazione ufficiale potrebbe integrare il quadro.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://gbhackers.com/windows-server-zero-day-flaw/amp/
• https://thehackernews.com/2026/10/curl-patches-http2-upload-flaw-after.html
• https://gbhackers.com/windows-server-zero-day-flaw/
• https://cyberpress.org/windows-server-zero-day-flaw/
• https://thehackernews.com/2023/10/two-high-risk-security-flaws-discovered.html
• https://thehackernews.com/2026/10/anthropic-launches-free-ai.html
• https://thehackernews.uk/network-defense-d