ZDI-26-617: il Windows MIDI Service diventa via di LPE a SYSTEM, patch di

Il 9 settembre 2026 la Zero Day Initiative ha pubblicato l'advisory ZDI-26-617, che documenta una vulnerabilità nel Windows MIDI Service di Microsoft: un attaccante locale con codice a basso privilegio può escalationare a SYSTEM sfruttando permessi non correttamente assegnati su una risorsa del servizio. La falla, catalogata CVE-2026-66804 con CVSS 7.8 HIGH, è corretta dalla patch rilasciata da Microsoft il giorno stesso, che valuta la probabilità di exploit attiva come "Exploitation More Likely".

Come funziona l'attacco: permessi errati su risorsa del MIDI Service

La Zero Day Initiative specifica che "the specific flaw exists within the Windows MIDI Service. The issue results from incorrect permissions on a resource used by the service". Questa formulazione indica una falla nella gestione degli access control list o dei diritti di accesso su un oggetto sistema — file, directory, registry key o altro handle inter-process — utilizzato dal servizio MIDI di Windows.

L'advisory ZDI chiarisce la catena di sfruttamento: l'attaccante deve già avere la capacità di eseguire codice con privilegi limitati sul sistema target. Da questa posizione, manipola la risorsa con permessi inadeguati per interferire con il comportamento del servizio. L'obiettivo è l'escalation completa: "an attacker can leverage this vulnerability to escalate privileges and execute arbitrary code in the context of SYSTEM", come riporta la Zero Day Initiative.

Il vector string CVSS:3.1 conferma la natura dell'attacco: accesso locale (AV:L), complessità di attacco bassa (AC:L), privilegi bassi richiesti (PR:L), nessuna interazione utente necessaria (UI:N). Il sistema target subisce impatto alto su confidenzialità, integrità e disponibilità (C:H/I:H/A:H), con scope unchanged (S:U). Le metriche temporali riportano exploit non disponibile pubblicamente (E:U), patch rilasciata (RL:O), conferma dettagliata della vulnerabilità (RC:C).

Discrepanza tra denominazioni: "MIDI Service" o "Cross Device Service"?

Un elemento da annotare emerge dal confronto tra le fonti primarie. L'advisory ZDI-26-617 identifica esplicitamente il componente come "Windows MIDI Service". Il record CVE-2026-66804 su cve.org e l'advisory Microsoft Security Response Center (MSRC) utilizzano invece il titolo "Cross Device Service".

Questa incongruenza non compromette la validità dei dati tecnici: tutte e tre le fonti primarie concordano sul meccanismo (incorrect permission assignment), sull'impact (Elevation of Privilege a SYSTEM) e sulla correzione tramite patch. La discrepanza potrebbe riflettere un raggruppamento CVE multi-componente da parte di Microsoft, oppure una ridefinizione interna del servizio in una nuova architettura Windows. Il dossier non specifica quale sia la correlazione esatta tra le due denominazioni.

Per le organizzazioni che verificano i sistemi, questo significa che la ricerca della patch dovrebbe concentrarsi su CVE-2026-66804 piuttosto che sul nome del servizio, data la priorità dell'identificatore ufficiale nel catalogo Microsoft.

Perché la valutazione "Exploitation More Likely" cambia la priorità

Microsoft assegna a questa vulnerabilità l'exploitability assessment "Exploitation More Likely". Questa classificazione, riportata nell'advisory ufficiale MSRC per CVE-2026-66804, indica che Microsoft ritiene probabilisticamente elevata la possibilità di vedere codice di exploit funzionante in circolazione nel breve-medio termine. Non equivale a conferma di exploitation attiva in-the-wild, ma eleva la priorità di patching rispetto a vulnerabilità con assessment "Exploitation Less Likely" o "Exploitation Unlikely".

Il valore aggiunto di questa valutazione risiede nella combinazione con la facilità tecnica dell'attacco: AC:L (complessità bassa) e UI:N (nessuna interazione utente) significano che, una volta ottenuto l'accesso locale iniziale — tipicamente tramite compromissione di account limitato, esecuzione di payload secondario o movimento laterale — la fase di privilege escalation non richiede ingegnerizzazione complessa.

La fonte non specifica se esista exploit pubblico o proof-of-concept al momento della pubblicazione. La metrica E:U nel vector CVSS conferma che il record CVE non rileva codice di exploit disponibile pubblicamente.

Cosa fare adesso

Le seguenti azioni si basano esclusivamente sulle indicazioni documentate nelle fonti primarie:

• Applicare l'update Microsoft per CVE-2026-66804 rilasciato nel ciclo di patch di settembre 2026, verificabile nel Microsoft Security Update Guide tramite l'identificatore CVE
• Verificare la classificazione di priorità interna alla luce dell'assessment "Exploitation More Likely" di Microsoft, che eleva il rischio rispetto alla sola severità CVSS
• Controllare la presenza del componente MIDI Service nei sistemi Windows enterprise, in particolare workstation e terminali dove il servizio può risultare abilitato anche senza utilizzo attivo di periferiche MIDI
• Monitorare l'advisory ZDI-26-617 per eventuali aggiornamenti sulla disponibilità di exploit o dettagli tecnici aggiuntivi sulla risorsa specifica interessata

Il rischio dei servizi Windows secondari nel perimetro di attacco

Il Windows MIDI Service rappresenta una superficie d'attacco tipicamente esclusa dai programmi di hardening standard. I servizi audio e multimedia legacy — spesso ereditati da decenni di retrocompatibilità Windows — ricevono minore attenzione rispetto ai componenti di rete, autenticazione o esecuzione remota. La ZDI-26-617 dimostra che questa invisibilità non equivale a sicurezza.

La struttura della falla — incorrect permission assignment — rientra in una categoria di vulnerabilità sistematica nei servizi Windows: la mancata enforcement di access control appropriato su risorse inter-process. Questo pattern si ripete con frequenza elevata nei privilege escalation locali, dove il servizio esegue con account SYSTEM o privilegi elevati ma espone handle, pipe o file system object a processi con integrità o trust level inferiore.

Il caso documentato dalla Zero Day Initiative, con ricercatore kaijieguigui che ha segnalato la falla il 2026-08-11 e ha coordinato il rilascio pubblico con Microsoft per il Patch Tuesday di settembre, illustra il funzionamento efficace del disclosure coordinato. Il periodo di circa quattro settimane tra segnalazione e patch ha permesso a Microsoft di sviluppare e testare la correzione prima della divulgazione pubblica dei dettagli tecnici.

"An attacker who successfully exploited this vulnerability could gain SYSTEM privileges." — Microsoft Security Update Guide, CVE-2026-66804

Cosa non sappiamo: limiti del dossier

Il dossier redazionale presenta punti non documentati che condizionano la valutazione del rischio operativo. La Zero Day Initiative non specifica quale risorsa esatta abbia i permessi errati: il dato mancante impedisce la creazione di controlli di mitigazione selettivi oltre alla patch ufficiale.

Non emergono informazioni su eventuali exploitation in-the-wild, né sulla disponibilità di proof-of-concept pubblico. Il dossier non documenta il numero esatto di versioni o build patchate oltre ai range indicati nel record CVE. La correlazione tra "MIDI Service" e "Cross Device Service" come componenti rimane non definita: le organizzazioni che gestiscono sistemi legacy o configurazioni custom dovranno verificare manualmente la presenza del servizio.

L'advisory ZDI non riporta esplicitamente un CVSS score nel formato strutturato, ma il dato è recuperabile dalle fonti collegate CVE e Microsoft. Nessuna delle fonti primarie elenca impatti a valle specifici oltre al SYSTEM privileges, né fornisce indicazioni su catene di attacco che combinino questa LPE con vettori di accesso iniziale.

Domande frequenti

La vulnerabilità permette attacco remoto?

No. Il vector string CVSS:3.1 riporta AV:L (Attack Vector: Local), che indica accesso locale al sistema target. La falla richiede esecuzione di codice preliminare con privilegi limitati.

Perché il CVE si chiama "Cross Device Service" e non "MIDI Service"?

Il record CVE-2026-66804 su cve.org e l'advisory Microsoft MSRC utilizzano la denominazione "Cross Device Service", mentre l'advisory ZDI-26-617 specifica "Windows MIDI Service". Il dossier non chiarisce la correlazione esatta tra i due nomi di componente, ma tutte le fonti primarie concordano sul meccanismo tecnico e sulla correzione.

L'exploit è disponibile pubblicamente?

La metrica E:U (Exploit Code Unavailable) nel vector CVSS:3.1 indica che il codice di exploit non è pubblicamente disponibile al momento della pubblicazione del record CVE. L'assessment Microsoft "Exploitation More Likely" indica però probabilità elevata di sviluppo futuro.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-617/
• https://www.cve.org/CVERecord?id=CVE-2026-66804
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-66804
• https://www.trendmicro.com/