In questo articolo Indice dei contenuti 3 sezioni
Un problema piuttosto fastidioso ha colpito Microsoft Defender, che il 18 agosto 2026 ha iniziato a piantarsi durante le scansioni su un numero enorme di macchine Windows, chiudendo il servizio di protezione e invitando l’utente a riavviarlo. Il primo pensiero, comprensibile, è stato quello di un malware capace di mettere fuori gioco l’antivirus. La realtà era meno cinematografica e più banale, cioè una serie di aggiornamenti difettosi distribuiti da Redmond nel giro di poche ore.
La confusione è stata amplificata dal contesto. Pochi giorni prima era arrivato il Patch Tuesday di agosto con gli aggiornamenti mensili di Windows e, quasi in parallelo, era diventato pubblico ShieldBreak, un exploit che prende di mira proprio l’antimalware integrato nel sistema operativo. Coincidenze del genere alimentano sempre ipotesi complottistiche, ma i dati raccolti sulle macchine coinvolte raccontano un’altra storia.
Cosa succedeva davvero durante la scansione
Il copione era quasi sempre identico. Scansione rapida o completa avviata, tutto regolare per qualche secondo o qualche minuto, poi lo stop improvviso con il messaggio che segnala l’arresto del servizio di protezione dalle minacce. In diversi casi Microsoft Defender sembrava disattivarsi del tutto per poi tornare operativo da solo dopo poco. La scansione offline, quella raggiungibile da Sicurezza di Windows nella sezione dedicata alla protezione da virus e minacce, si comportava in modo leggermente diverso, restando bloccata stabilmente tra il 90 e il 93% senza arrivare mai in fondo.
Chi ha aperto il Visualizzatore eventi ha trovato la conferma tecnica del guasto, cioè il crash di MsMpEng.exe, il processo principale del motore antivirus, all’interno di mpengine.dll, con il codice 0xC0000005. Si tratta di una access violation, in pratica un tentativo di leggere, scrivere o eseguire codice a un indirizzo di memoria non valido. Non è sinonimo di RAM difettosa e non prova affatto la presenza di un’infezione. Quando lo stesso errore compare in contemporanea su migliaia di computer subito dopo l’aggiornamento dello stesso componente, il colpevole è quasi sempre il software.
Gli aggiornamenti incriminati e la correzione
Defender non è un blocco unico che si aggiorna solo con il Patch Tuesday. La protezione poggia su più elementi con cadenze diverse, cioè piattaforma antimalware, motore di scansione, intelligence di sicurezza e componenti cloud. I Security Intelligence Update contengono soprattutto le informazioni che servono a riconoscere malware e comportamenti sospetti, e possono essere distribuiti anche più volte al giorno. Per Microsoft Defender Antivirus arrivano tramite KB2267602, mentre Microsoft Endpoint Protection utilizza KB2461484.
Le segnalazioni si sono concentrate sulle versioni 1.457.222.0, 1.457.225.0, 1.457.226.0, 1.457.227.0 e 1.457.230.0. Molti utenti hanno riprodotto il crash con più revisioni consecutive, il che significa che un singolo controllo su Windows Update spesso non bastava. Capitava di ricevere la 1.457.225.0 e poco dopo la 1.457.227.0, ritrovandosi con lo stesso identico difetto. Il Microsoft Update Catalog documenta la pubblicazione a raffica di numerose revisioni della famiglia 1.457 nell’arco di quella giornata. La svolta è arrivata con la versione 1.457.236.0 e successive, dopo la quale scansioni rapide e complete hanno ripreso a chiudersi regolarmente.
Protezione in tempo reale e il sospetto ShieldBreak
Buona parte delle testimonianze indica che il crash riguardava soprattutto le scansioni manuali, mentre la protezione in tempo reale continuava a rispondere sui file esaminati singolarmente. Non ovunque, però. Alcuni sistemi mostravano notifiche di antivirus disabilitato e altri utenti hanno riscontrato anomalie nelle operazioni di quarantena. Un motore che termina in modo irregolare durante certe attività non può essere considerato pienamente affidabile finché non viene installata la correzione, quindi dopo l’aggiornamento vale la pena verificare che tutte le voci di stato di Defender risultino attive.
Sul fronte delle cause resta l’ipotesi legata a ShieldBreak, il proof of concept pubblicato dal ricercatore noto come Nightmare Eclipse, capace di ottenere privilegi SYSTEM sfruttando l’antimalware preinstallato in Windows. Nasce come bypass della correzione preparata per RoguePlanet, vulnerabilità associata a CVE-2026-50656. L’idea che Microsoft abbia modificato in fretta Defender per contrastarlo, introducendo per sbaglio il crash, è plausibile ma non dimostrata. Nessuna comunicazione ufficiale collega i due episodi.
