Una delle vulnerabilità più pericolose dell'anno sta mettendo sotto pressione gli amministratori di rete di mezzo mondo. Si chiama CVE-2026-41089 e colpisce Netlogon, il servizio di Windows che gestisce l'autenticazione all'interno di un dominio aziendale. Il punteggio di gravità assegnato e di 9.8 su 10, praticamente il massimo, e la falla risulta già sfruttata negli attacchi reali.

Di cosa si tratta

Netlogon e il componente che permette ai computer di un'organizzazione di verificare le identità e di dialogare in modo sicuro con il domain controller, ovvero il server che custodisce le credenziali di tutti gli utenti e i criteri di sicurezza del dominio Active Directory. La vulnerabilità è un buffer overflow, un errore nella gestione della memoria che si verifica quando il programma riceve più dati di quanti sia in grado di trattare correttamente.

Sfruttando questo difetto, un attaccante può inviare una richiesta di rete appositamente costruita verso un server che svolge il ruolo di domain controller e ottenere l'esecuzione di codice arbitrario. Il dettaglio più grave e che l'attacco non richiede alcuna autenticazione: non servono nome utente o password validi per colpire.

Perché e così grave

Un'aggressione andata a buon fine consegna all'attaccante privilegi di livello SYSTEM proprio sul domain controller, il cuore della rete aziendale. In pratica significa il controllo completo del dominio: la possibilità di creare nuovi account con poteri amministrativi, di muoversi liberamente tra tutti i sistemi che si autenticano su quel server e di disattivare le difese. Per un'azienda equivale a perdere le chiavi dell'intera infrastruttura informatica.

La falla è stata divulgata il 12 maggio 2026, ma nelle settimane successive sono comparse le prime tracce di sfruttamento concreto. Il Centro per la cybersicurezza del Belgio (CCB) ha diramato un avviso urgente segnalando che la vulnerabilità è ormai sfruttata attivamente in rete. Netlogon, del resto, ha una storia di problemi di sicurezza: la memoria di Zerologon del 2020 e ancora viva tra gli addetti ai lavori.

Come proteggersi

La priorità assoluta e installare l'aggiornamento di sicurezza distribuito da Microsoft, applicandolo per primo proprio ai domain controller. Oltre alla patch, gli esperti raccomandano alcune misure di contenimento:

  • Aggiornare subito tutti i server che svolgono funzioni di domain controller, senza attendere il consueto ciclo mensile.
  • Limitare l'esposizione del servizio Netlogon: i domain controller non dovrebbero mai essere raggiungibili direttamente da Internet.
  • Segmentare la rete in modo che, anche in caso di compromissione, il movimento laterale dell'attaccante risulti il più difficile possibile.
  • Monitorare i log di autenticazione alla ricerca di richieste Netlogon anomale o di creazione improvvisa di nuovi account privilegiati.

Le vulnerabilità che colpiscono il sistema di autenticazione di un dominio sono tra le più ambite dai gruppi ransomware, perché aprono la strada alla cifratura simultanea di tutti i computer aziendali. Intervenire nel più breve tempo possibile, in questi casi, fa davvero la differenza.