In questo articolo Indice dei contenuti 2 sezioni
Si chiama ShieldBreak ed è l’ennesima falla critica di Windows resa pubblica senza preavviso, con una beffa non da poco: per funzionare ha bisogno che Windows Defender sia attivo sulla macchina bersaglio. L’antivirus integrato nel sistema operativo, in altre parole, diventa la porta d’ingresso dell’attacco. Dietro la divulgazione c’è un ricercatore che in rete si fa chiamare Nightmare Eclipse, lo stesso che nelle settimane scorse ha incassato minacce legali da Microsoft e che, nonostante tutto, ha deciso di andare avanti.
Il meccanismo tecnico è quello classico dell’escalation dei privilegi. Si parte da un account con permessi limitati e si arriva al controllo completo del computer, sfruttando un bug nel motore antimalware. Nessun trucco esotico, nessuna condizione irrealistica: basta che Defender stia facendo il suo lavoro. I sistemi coinvolti sono Windows 10, Windows 11 compresa l’ultimissima versione 25H2, e Windows Server 2025. Non è una vanteria da forum: un ricercatore indipendente ha verificato che l’exploit funziona davvero.
Un Proof of Concept già pubblico, e questo è il problema
Nightmare Eclipse non si è limitato ad annunciare la vulnerabilità. Ha diffuso anche il Proof of Concept, cioè la dimostrazione pratica che la falla è sfruttabile, insieme a tutti i dettagli necessari per replicarla passo dopo passo. Con gli strumenti di intelligenza artificiale disponibili oggi, chiunque abbia una preparazione tecnica anche modesta può trasformare quelle informazioni in un attacco funzionante nel giro di pochi minuti. È qui che la faccenda smette di essere una disputa tra addetti ai lavori e diventa un rischio concreto per chiunque usi un PC Windows.
C’è di più. ShieldBreak non nasce dal nulla: è l’evoluzione di un exploit precedente, chiamato RoguePlanet, per il quale Microsoft aveva già distribuito una correzione. Secondo il ricercatore quella patch era incompleta, e ShieldBreak sarebbe la prova provata di quella incompletezza. Al momento non esiste alcun aggiornamento che risolva la nuova falla, il che la rende uno zero-day a tutti gli effetti, pubblicato senza concedere all’azienda nemmeno un giorno di margine. Anche il momento scelto dice parecchio. La divulgazione è arrivata a ventiquattro ore dal Patch Tuesday di agosto, l’appuntamento mensile con cui Microsoft rilascia le correzioni di sicurezza. Difficile leggerlo come una coincidenza.
Il braccio di ferro tra Microsoft e i ricercatori
Alla base di tutto c’è uno scontro che va avanti da mesi. Nightmare Eclipse accusa Microsoft di gestire male le segnalazioni di vulnerabilità, e porta un argomento pesante: alcuni bug che aveva segnalato sono stati poi usati in attacchi reali contro organizzazioni, senza che l’azienda intervenisse in tempi accettabili. A maggio la risposta è arrivata sotto forma di un post ufficiale del Security Response Center, in cui Microsoft minacciava azioni legali contro chi pubblica zero-day fuori dalle policy previste. L’effetto è stato l’opposto di quello sperato. Decine di altri ricercatori si sono schierati pubblicamente contro quella presa di posizione, criticando apertamente il modo in cui la sicurezza informatica viene gestita a Redmond quando si tratta di ascoltare chi segnala i problemi dall’esterno.
Per chi ha un sistema Windows con Defender attivo, al momento le opzioni sono poche. Non esiste una contromisura specifica, se non tenere d’occhio i prossimi aggiornamenti di sicurezza e mantenere le buone pratiche di base sulla rete domestica. La patch arriverà, la domanda è quando.
Resta sullo sfondo una questione strutturale che questa vicenda rende evidente: quando un colosso come Microsoft non risponde in tempi ragionevoli alle segnalazioni, chi scopre una falla si trova davanti a due strade entrambe scomode. Tacere e sperare, oppure pubblicare tutto e mettere pressione, sapendo che nel frattempo a pagare il conto sono gli utenti finali.
