Una patch che dura un mese
Quanto vale un sistema «completamente aggiornato»? A volte poche settimane. Windows lo sta dimostrando dopo il Patch Tuesday di agosto 2026, quello da 421 vulnerabilità corrette. Pochi giorni dopo è comparso online un exploit chiamato ShieldBreak. Il codice è pubblico, funziona, e rimette l'attaccante esattamente dove Microsoft pensava di averlo chiuso fuori.
ShieldBreak non apre una porta nuova. Aggira la correzione di una falla già nota, CVE-2026-50656, battezzata RoguePlanet, insieme a una vulnerabilità collegata (CVE-2026-62832, LegacyHive). La patch di giugno e luglio ha alzato un muro; questo exploit ci passa sotto. Nei test pubblicati riesce nel 100% dei casi.
Come funziona
Il trucco sta nel tempismo. Quando un file arriva dal cloud, Windows lo scrive su disco tramite un componente chiamato Cloud Filter API. In quell'istante Defender lo analizza. ShieldBreak si infila proprio lì: con un aggancio in modalità utente cambia il contenuto del file mentre la scansione è in corso. Defender valida una versione, sul disco ne resta un'altra. Da questo scarto l'attaccante ottiene l'esecuzione di codice come SYSTEM, l'account con pieni poteri sulla macchina. Sono coinvolti Windows 11 25H2, Windows Server 2025 e, con ogni probabilità, Windows 10. L'unico requisito è avere Defender attivo: la norma su quasi tutti i client aziendali.
Un punto da tenere fermo: non è un attacco da remoto. Chi usa ShieldBreak deve già avere un piede dentro la macchina, anche con privilegi minimi. L'exploit serve a trasformare quell'accesso limitato in controllo totale. È lo stadio che segue quasi sempre un phishing riuscito o una credenziale rubata.
Perché conta adesso
Il PoC è stato diffuso da un ricercatore che si firma Nightmare Eclipse, e il funzionamento è stato verificato da tecnici noti come Will Dormann. Microsoft, tramite il suo MSRC, ha replicato accusando il ricercatore di aver saltato di proposito la divulgazione responsabile e di aver esposto gli utenti. Per ora non c'è una patch né una mitigazione ufficiale. Il primo appuntamento utile è il Patch Tuesday di settembre. Fino ad allora chi ha in mano l'exploit gioca con circa un mese di vantaggio.
💬 Il mio commento
Lo dico chiaro: la parola «aggiornato» ci ha dato un falso senso di sicurezza per anni. ShieldBreak è l'ennesima conferma che la patch è una condizione necessaria, non sufficiente. Nei penetration test che seguo, l'escalation a SYSTEM è quasi sempre il momento in cui il cliente scopre che la sua difesa era di facciata: EDR installato ma senza nessuno che legga gli alert, logging assente sulle workstation, account di servizio con privilegi da amministratore lasciati lì da un'installazione di cinque anni fa. Un exploit come questo non fa danni da solo. Fa danni perché trova il terreno già preparato.
Cosa consiglio alle aziende in questo mese di attesa, in concreto: date per scontato che l'accesso iniziale prima o poi arriva e concentratevi sul contenerlo. Segmentate la rete, così una workstation compromessa non vede mezzo dominio. Controllate chi può diventare SYSTEM o Domain Admin e riducete quella lista al minimo. Attivate il logging sugli endpoint e tenete qualcuno che guardi davvero gli alert dell'EDR, non solo un cruscotto verde. Scrivete una procedura di incident response, con i contatti giusti, prima di averne bisogno. Quando mi chiamano ad attacco in corso, la differenza tra una brutta settimana e un disastro è quasi sempre quello che è stato messo in piedi nei mesi prima.