In questo articolo Indice dei contenuti 2 sezioni
Microsoft ha annunciato che Outlook bloccherà gli allegati MSIX a partire dal prossimo mese. Si tratta dei file con estensione .msix e .msixbundle, che finiranno nell’elenco dei formati non consentiti sia su Outlook sul web sia sul nuovo Outlook per Windows. Una scelta che rientra in una strategia ormai chiara da parte dell’azienda di Redmond, impegnata da tempo a chiudere le porte ai tipi di file che i criminali informatici sfruttano più volentieri.
Per capire di cosa si parla serve una piccola premessa. I file .msix sono i moderni pacchetti di installazione di Windows, pensati per architetture o configurazioni specifiche dei computer. Il formato .msixbundle invece funziona come un contenitore che raggruppa più pacchetti .msix in un unico file, così da renderlo compatibile con diverse architetture contemporaneamente. Insomma strumenti nati per semplificare la distribuzione del software, che però nelle mani sbagliate possono trasformarsi in un veicolo d’attacco.
Come funziona il blocco e quando arriva
Il cambiamento inizierà a raggiungere gli utenti di Exchange Online nei primi giorni di novembre 2026. In quel momento le due nuove estensioni verranno inserite nella lista BlockedFileTypes di tutte le policy OWA Mailbox, e la disponibilità generale è prevista entro la metà del mese. Una volta aggiornate le policy, gli allegati MSIX saranno bloccati in modo predefinito. Chi usa Outlook sul web o il nuovo client per Windows non potrà più inviarli, riceverli, aprirli o scaricarli.
Microsoft ha spiegato la decisione con un messaggio pubblicato nel centro messaggi di Microsoft 365. “Per migliorare la sicurezza in Outlook sul web e nel nuovo Outlook per Windows stiamo aggiornando l’elenco predefinito dei tipi di file bloccati in OwaMailboxPolicy” ha scritto l’azienda. Nello stesso avviso viene precisato che i formati .msix e .msixbundle saranno aggiunti alla lista BlockedFileTypes sia nella policy OWA Mailbox predefinita sia in tutte le policy personalizzate create all’interno del tenant.
Gli amministratori di sistema non dovranno fare nulla se nella propria organizzazione questi file non vengono utilizzati. Chi invece ne avesse bisogno potrà comunque consentirli aggiungendoli alla proprietà AllowedFileTypes degli oggetti OwaMailboxPolicy assegnati agli utenti. Secondo Microsoft la stragrande maggioranza delle aziende non noterà alcuna differenza, visto che si tratta di formati usati di rado. L’azienda ha definito l’aggiornamento come parte dei suoi sforzi continui per rafforzare la sicurezza e proteggere le organizzazioni dagli allegati potenzialmente pericolosi.
Una stretta che parte da lontano
Il blocco degli allegati MSIX non arriva dal nulla. Negli ultimi anni Microsoft ha disattivato o rimosso diverse funzioni di Office e Windows che gli aggressori avevano preso di mira negli attacchi rivolti ai suoi clienti. Il filo conduttore è sempre lo stesso, cioè togliere terreno a chi cerca di sfruttare caratteristiche legittime del software per diffondere codice malevolo.
A giugno 2025, per esempio, Outlook aveva cominciato a bloccare due tipi di file legati alle librerie e alle ricerche di Windows. Erano formati sfruttati in campagne di phishing e attacchi malware almeno da giugno 2022, comprese operazioni dirette contro enti governativi. Un caso emblematico di come strumenti apparentemente innocui possano diventare un punto debole.
Più di recente, a ottobre 2025, Microsoft aveva annunciato che Outlook per il web e il nuovo client Windows avrebbero smesso di mostrare le immagini SVG inline considerate rischiose, anche queste finite al centro di diversi attacchi. L’elenco completo degli allegati che gli utenti di Exchange Server ed Exchange Online non possono salvare né visualizzare da Outlook sul web è consultabile nella documentazione ufficiale di Microsoft.
Fonte: TecnoAndroid
