Microsoft ha messo in guardia gli utenti su due vulnerabilità zero-day che interessano il suo antivirus Defender e che risultano già sfruttate in attacchi reali. Le due falle, CVE-2026-41091 e CVE-2026-45498, sono state aggiunte da CISA al catalogo delle vulnerabilità note e sfruttate (KEV), con l'obbligo per le agenzie federali statunitensi di mettere in sicurezza i propri sistemi entro il 3 giugno 2026.

Le vulnerabilità sfruttate

CVE-2026-41091 è una vulnerabilità di escalation di privilegi presente nel Microsoft Malware Protection Engine nelle versioni 1.1.26030.3008 e precedenti. Nasce da una gestione impropria della risoluzione dei collegamenti prima dell'accesso ai file e permette a un attaccante di ottenere i privilegi di SYSTEM, ovvero il controllo più elevato sulla macchina.

CVE-2026-45498 colpisce invece i sistemi che eseguono il Microsoft Defender Antimalware Platform nelle versioni 4.18.26030.3011 e precedenti. In questo caso lo sfruttamento consente di provocare una condizione di negazione del servizio (DoS), mandando in blocco la protezione sui dispositivi Windows non aggiornati.

La terza falla: esecuzione di codice da remoto

A queste si aggiunge CVE-2026-45584, un buffer overflow basato su heap con punteggio CVSS 8.1, che un attaccante non autorizzato potrebbe sfruttare per ottenere l'esecuzione di codice da remoto. Al momento non risultano prove di sfruttamento attivo per questa terza vulnerabilità, ma la gravità impone comunque di non abbassare la guardia.

Cosa fare

  • Verifica la versione del motore di protezione di Defender: l'aggiornamento si distribuisce in genere in automatico, ma è bene controllare di avere una versione successiva a quelle vulnerabili.
  • Non disabilitare gli aggiornamenti automatici delle definizioni e del motore antimalware: sono la prima linea di difesa contro questo tipo di falle.
  • Nelle reti aziendali, controlla tramite gli strumenti di gestione centralizzata che tutti gli endpoint abbiano ricevuto la versione corretta del motore.
  • Monitora i log alla ricerca di attività anomale legate a innalzamenti di privilegi non giustificati.

Il caso è significativo perché a essere colpito è proprio lo strumento di sicurezza preinstallato su centinaia di milioni di dispositivi Windows: quando la difesa stessa diventa il punto d'ingresso, la tempestività della patch fa tutta la differenza.