Un ricercatore di sicurezza ha pubblicato i dettagli di una nuova vulnerabilità sicurezza Windows che permette agli hacker di ottenere l’accesso completo al dispositivo e ai dati dell’utente, e lo ha fatto solo poche settimane dopo aver ricevuto una minaccia legale da Microsoft per la divulgazione di falle software non ancora note. Il bug, battezzato ShieldBreak, riaccende uno scontro che dura da mesi tra l’azienda di Redmond e chi scova le sue debolezze.
Summary
Punti chiave
- ShieldBreak sfrutta una falla in Windows Defender e consente di passare da utente a basso privilegio a controllo totale del sistema.
- Colpisce Windows 10, Windows 11 (inclusa la versione 25H2) e Windows Server 2025.
- Il ricercatore Will Dormann ha confermato che l’exploit funziona, ma solo con Windows Defender attivo.
- Microsoft non ha ancora rilasciato una patch né ha commentato pubblicamente il caso.
- Il bug nasce come evoluzione di un exploit precedente, RoguePlanet, corretto solo in parte da Microsoft.
Nuova vulnerabilità zero-day sfrutta una falla di Windows Defender
ShieldBreak è un bug zero-day Windows perché è stato reso pubblico senza lasciare a Microsoft il tempo di produrre una correzione prima della divulgazione. A pubblicarlo è stato il ricercatore che si firma Nightmare Eclipse, autore negli ultimi mesi di diverse segnalazioni relative ai prodotti Microsoft, Windows in primis.
Dettagli tecnici dell’exploit ShieldBreak
Secondo quanto descritto dallo stesso ricercatore, l’exploit ShieldBreak sfrutta un difetto all’interno di Windows Defender, il motore antimalware integrato di serie nel sistema operativo. Un attacco riuscito permette di scalare i privilegi da un account con permessi limitati fino al controllo completo della macchina e dei dati che contiene: in pratica, il classico salto da utente comune a amministratore assoluto del sistema.
Versioni Windows interessate e modalità di attivazione
Il problema, spiega Nightmare Eclipse, riguarda Windows 10, Windows 11 – compresa l’ultima release 25H2 – e Windows Server 2025. Per innescarlo, però, serve un passaggio non banale: la vittima deve eseguire un’applicazione Windows dannosa, pubblicata dallo stesso ricercatore come proof-of-concept. Non si tratta quindi di un attacco che si attiva da remoto senza alcuna interazione, ma il rischio resta concreto perché basta un minimo di ingegneria sociale per convincere un utente a lanciare il file sbagliato.
A confermare l’efficacia del bug è arrivato un secondo esperto indipendente, Will Dormann, che ha verificato in prima persona il funzionamento dell’exploit e ha precisato un dettaglio chiave: Windows Defender deve essere attivo perché l’attacco vada a segno. Dato che Defender è abilitato di default sulla maggior parte dei PC Windows, la platea di dispositivi potenzialmente esposti è ampia.
Collegamento all’exploit RoguePlanet precedente e problemi di patching
ShieldBreak non nasce dal nulla: è l’evoluzione diretta di un altro exploit firmato dallo stesso ricercatore, chiamato RoguePlanet. Microsoft aveva già distribuito una patch per correggerlo, ma secondo Nightmare Eclipse quella correzione non era sufficiente. Il nuovo bug dimostrerebbe infatti un bypass completo della difesa introdotta in precedenza, riportando la falla praticamente al punto di partenza.
Questo dettaglio pesa parecchio sul piano della fiducia: se un problema di sicurezza sistema-critico si può bypassare con una nuova variante dopo appena una correzione ufficiale, la qualità del processo di patching di Microsoft finisce sotto i riflettori. Per chi gestisce parchi macchine aziendali, significa non poter considerare “chiuso” un capitolo di sicurezza solo perché è arrivato un aggiornamento con quel nome.
Risposta di Microsoft e conflitti sulla divulgazione
Microsoft non ha ancora rilasciato alcuna patch per ShieldBreak e, al momento, non ha fornito alcuna posizione ufficiale sulla vicenda. Questo silenzio arriva dopo mesi di tensione con la comunità dei ricercatori di sicurezza, e riaccende un dibattito più ampio su come le grandi software house gestiscono le segnalazioni di bug ricevute dall’esterno.
Mancanza di patch e commenti ufficiali
Un portavoce di Microsoft non ha risposto immediatamente alle richieste di commento di TechCrunch. L’assenza di indicazioni lascia in sospeso la domanda più urgente per amministratori IT e utenti finali: quando arriverà una correzione e con quale grado di efficacia, considerando i precedenti di RoguePlanet.
Minacce legali e ritrattazione verso i ricercatori
La vicenda si inserisce in un braccio di ferro più lungo. A maggio, Microsoft aveva pubblicato un post sul proprio blog in cui minacciava azioni legali contro i ricercatori che avessero divulgato zero-day fuori dalle proprie policy ufficiali di disclosure. La mossa aveva provocato una reazione dura da parte della comunità della sicurezza informatica, con numerosi esperti che raccontavano esperienze simili nella gestione delle proprie segnalazioni da parte dell’azienda. Microsoft ha poi fatto marcia indietro attraverso un post sui social media, ma il testo originale del blog resta pubblicato e invariato.
Reclami dei ricercatori sulla gestione errata dei bug
In una serie di post pubblicati online, Nightmare Eclipse ha sostenuto che Microsoft avrebbe gestito in modo inadeguato le proprie segnalazioni di bug, lasciando come unica alternativa la divulgazione pubblica. Va detto che si tratta di un’accusa da verificare, priva al momento di riscontri indipendenti da parte di Microsoft. Il ricercatore aveva già reso noti in passato altri bug di Windows, successivamente sfruttati in attacchi reali contro organizzazioni.
Perché conta tutto questo? Perché ogni disclosure pubblica senza patch pronta trasforma un problema tecnico in un rischio operativo immediato per milioni di dispositivi Windows nel mondo, aziende comprese. E perché lo scontro sulle regole di divulgazione tra ricercatori e vendor incide direttamente sulla velocità con cui le falle vengono corrette o, al contrario, rese pubbliche prima del tempo.
ShieldBreak è arrivato un giorno dopo il ciclo mensile di aggiornamenti di sicurezza di Microsoft, il cosiddetto Patch Tuesday di agosto. È il secondo mese consecutivo in cui il numero di correzioni distribuite si attesta attorno alle 500, un volume che l’azienda attribuisce al crescente utilizzo dell’intelligenza artificiale per individuare ed eliminare le falle. Nello stesso giro di aggiornamenti, Microsoft ha distribuito anche il pacchetto cumulativo KB5120249 per Windows 10, dedicato alle versioni 22H2 e 21H2 coperte dal programma di Extended Security Updates, portando i sistemi alle build 19045.7663 e 19044.7663: un intervento però mirato a problemi come i backup File History via rete e l’espansione dei nuovi certificati Secure Boot, non alla falla scoperta da Nightmare Eclipse.
FAQ
Cos’è la vulnerabilità ShieldBreak?
ShieldBreak è una nuova vulnerabilità di Windows che sfrutta una falla in Windows Defender, permettendo agli hacker di ottenere l’accesso completo al sistema.
Quali versioni di Windows sono interessate da ShieldBreak?
ShieldBreak riguarda Windows 10, Windows 11 (inclusa l’ultima versione 25H2) e Windows Server 2025.
Come si attiva l’exploit ShieldBreak?
L’exploit si attiva quando un utente esegue un’applicazione Windows dannosa progettata appositamente per innescare la vulnerabilità.
Microsoft ha rilasciato una patch per correggere ShieldBreak?
No, al momento Microsoft non ha rilasciato alcuna patch e non ha commentato pubblicamente la vulnerabilità ShieldBreak.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
