Team MailSniper
Autore
Il 15 giugno 2026, Marcus Chen stava facendo quello che faceva ogni settimana: analizzava i log del suo sistema di sicurezza. Era un mercoledì pomeriggio, le 14:30, il condizionatore ronzava in ufficio e la maggior parte dei colleghi era in riunione. Poi ha visto qualcosa di strano.
Un processo di Defender stava eseguendo codice da una posizione che non riconosceva. Niente di allarmante, pensava. Falsi positivi capitano. Ma quando ha scavato deeper, il suo caffè si è freddata. Il processo aveva privilegi SYSTEM.
«Ho controllato tre volte», mi ha detto dopo, «perché non ci credevo. Il difensore aveva un buco che permetteva a chiunque di prendere il controllo totale della macchina.»
Quella falla si chiamava RoguePlanet. Ed era appena diventata pubblica.
Microsoft Defender è ovunque. È integrato in Windows, attivo di default su milioni di PC aziendali, usato da piccole imprese e grandi corporation. Lo installi e ti senti protetto. È lì, silenzioso, a scansionare i file che scarichi, le email che apri, i siti che navighi.
Ma chi difende il difensore?
La vulnerabilità CVE-2026-50656 ha fatto esattamente questo: ha trasformato Defender in un cavallo di Troia. Un attacker che riusciva a far eseguire un file malevolo al sistema poteva sfruttare il flaw per scalare i privilegi fino a SYSTEM, il livello più alto in Windows. Traduzione: poteva fare qualsiasi cosa. Installare malware, rubare dati, muoversi lateramente nella rete, cancellare log.
Il CVSS era alto, molto alto. Non è stato reso pubblico immediatamente, ma quando i dettagli sono trapelati — quasi un mese prima della patch — il mondo della sicurezza ha trattenuto il respiro.
Un mese. Trent giorni in cui qualsiasi attacker motivato poteva studiare il vulnerability, costruire un exploit e colpire.
Il cuore del problema stava in come Defender gestiva certain file durante le operazioni di scansione. Quando il motore di Defender analizzava un file sospetto, usava un componente che operava con privilegi elevati. Gli attacker hanno capito che potevano manipolare questo processo.
Il meccanismo era sottile ma devastante. Prima, l'attacker doveva far arrivare un file malevolo sulla macchina target — via email, via download, via supply chain. Poteva essere un documento apparentemente innocuo. Poi, quando Defender scansionava il file, il codice malevolo poteva iniettarsi nel processo del difensore stesso.
A questo punto, grazie alla vulnerabilità, il codice dell'attacker ereditava i privilegi SYSTEM del processo Defender. Non serviva exploit sofisticati. Non serviva bypassare l'antivirus. Il antivirus stesso diventava il vettore.
È come se avessi un sistema d'allarme in casa e un ladro scoprisse che può tagliare i fili dall'interno del pannello di controllo. Il guardiano apre la porta.
Non ci sono notizie di breach massivi collegati a RoguePlanet. Questo non significa che non ci siano stati. Nel mondo della sicurezza informatica, le violazioni che non vengono scoperte sono la maggioranza.
Quello che sappiamo è che la vulnerabilità è rimasta exposed per quasi un mese. In quel periodo:
Il costo? Impossibile da quantificare. Ma pensiamo a quante aziende usano Defender come unica linea di difesa. Pensiamo a quante PMI hanno pensato «tanto ho Windows, sono protetto». Quel mese di vulnerabilità ha fatto esattamente quello che un attacker sogna: ha dato tempo.
La patch è arrivata. Ma la lezione resta.
La prima cosa è aggiornare Defender immediatamente, se non l'hai già fatto. Controlla che i tuoi sistemi siano fully patched. Non dare per scontato che l'antivirus stia facendo il suo lavoro solo perché è installato.
La seconda è considerare una difesa a più livelli. Un singolo strumento, per quanto buono, è un singolo punto di failure. Un antispam dedicato come MailSniper può intercettare le email malevole prima che arrivino alla mailbox, riducendo la superficie d'attacco. È un livello in più, non una sostituzione.
La terza è monitorare. I log di Defender possono rivelare attività anomale. Se un processo Defender sta facendo qualcosa di strano, devi saperlo.
C'è qualcosa di ironico in tutta questa storia. Microsoft Defender è progettato per fermare gli attacchi. Per mesi, è stato il bersaglio preferito dei threat actor proprio perché è ovunque. Se trovi un buco in Defender, hai una porta verso milioni di macchine.
Questo ci dice una cosa semplice: la sicurezza assoluta non esiste. Ogni strumento che usi per proteggerti è anche un potenziale punto di debolezza. L'unica difesa reale è la consapevolezza che nessun singolo livello è sufficiente.
Il 2026 è l'anno in cui gli attacker hanno capito che attaccare i difensori è spesso più facile che attaccare le vittime. RoguePlanet è la prova.
Tu quand'è che hai aggiornato Defender l'ultima volta?
Team MailSniper
Team MailSniper
Esperti di sicurezza email e protezione aziendale. Il team MailSniper analizza quotidianamente le minacce informatiche per offrire soluzioni all'avanguardia alle aziende italiane.
Scopri chi siamoI gruppi ransomware ora entrano nelle aziende attraverso una falla nei server Citrix. Il risultato? Un attacco su cinque costa oltre 100mila euro. E la maggior parte delle PMI italiane non ha protezione specifica. Ecco cosa devi sapere e cosa puoi fare subito.
LeggiUna vulnerabilità critica in SimpleHelp viene sfruttata per distribuire due nuovi malware. Come verificare se sei esposto e cosa fare subito per proteggere la tua rete.
Leggi300 repository compromessi, catene di build avvelenate, migliaia di dipendenze infette. È lo scenario nightmare che i ricercatori di cybersecurity hanno scoperto nascosto nelle pieghe delle pipeline CI/CD di GitHub. Ma come si arriva a questo punto? E soprattutto: la tua azienda è al sicuro?
LeggiRicevi i nostri articoli e consigli direttamente nella tua casella di posta.
Scopri come MailSniper puo' proteggere le tue email aziendali con tecnologia AI di livello enterprise.