In questo articolo Indice dei contenuti 3 sezioni
Windows 11 torna a mostrare l’anteprima dei file scaricati da Internet, e la cosa farà tirare un sospiro di sollievo a chiunque passi le giornate a smistare PDF, fatture e documenti arrivati via web. Microsoft ha rivisto una misura di sicurezza introdotta meno di un anno fa, che di fatto trasformava il riquadro Anteprima di Esplora file in un muro grigio pieno di avvisi. La novità arriva con l’aggiornamento facoltativo KB5124010, pubblicato il 22 settembre 2026 per Windows 11 24H2 e 25H2, con le build 26100.9550 e 26200.9550. Come spesso accade, la distribuzione è progressiva, quindi il nuovo comportamento potrebbe non presentarsi subito su tutte le macchine che installano il pacchetto.
Al centro di tutto c’è un meccanismo che esiste da molto prima di Windows 11, il cosiddetto Mark of the Web, abbreviato in MotW, con cui il sistema tiene traccia della provenienza dei file scaricati dalla rete.
Cosa cambia davvero con KB5124010
Fino a oggi, sui sistemi aggiornati con le patch rilasciate a partire da ottobre 2025, selezionare un documento proveniente da Internet nel riquadro Anteprima di Esplora file produceva soltanto un avviso di sicurezza. Niente contenuto, niente scorciatoie. Con KB5124010 la logica diventa più selettiva e distingue tra file HTML e tutto il resto.
Per i documenti non HTML, PDF compresi in modo esplicito, Esplora file torna a generare l’anteprima in automatico anche se il file arriva dal web. Per i file HTML resta invece una barriera: nel riquadro compare il pulsante Mostra comunque l’anteprima, cioè una richiesta esplicita prima che il contenuto venga elaborato.
Perché le anteprime erano state bloccate
Per capire il cambio di rotta bisogna tornare all’aggiornamento di sicurezza del 14 ottobre 2025. Con il bollettino KB5070960 Microsoft aveva modificato Esplora file in modo che il riquadro Anteprima non elaborasse più automaticamente i file riconosciuti come provenienti da Internet, spiegando che il rendering poteva provocare una perdita degli hash NTLM.
Il meccanismo è sottile. Un file costruito ad arte può contenere elementi HTML, riferimenti a immagini, fogli di stile o altre risorse che puntano a un percorso esterno controllato dall’attaccante, con tag e attributi src. Quando Esplora file prepara l’anteprima, il componente che interpreta il documento può tentare di recuperare quella risorsa esterna. Immaginiamo un riferimento del tipo \server-attaccante.exampleshareimmagine.png: se Windows considera la destinazione una risorsa alla quale può autenticarsi via NTLM, parte in automatico il protocollo di autenticazione con le credenziali dell’utente connesso al PC.
NTLM funziona secondo uno schema challenge response. Il server invia un valore casuale, Windows calcola una risposta crittografica basata sul materiale derivato dalla password e restituisce nome account, dominio o nome del computer insieme alla risposta. L’attaccante non riceve la password in chiaro, ma ottiene una coppia challenge response da salvare e poi attaccare offline con dizionario o brute force. E in certe condizioni può tentare un attacco di NTLM relay, inoltrando in tempo reale lo scambio verso un altro servizio Windows che accetta NTLM, con l’identità della vittima. Molto dipende dalle protezioni attive, come SMB signing o Extended Protection for Authentication. Il punto critico era l’assenza di un gesto consapevole: bastava selezionare il file con il riquadro attivo.
Zone.Identifier, il dettaglio che pochi vedono
Quando un browser salva su un volume NTFS un file preso da Internet, Windows può associargli un Alternate Data Stream chiamato Zone.Identifier, dove il valore 3 indica la zona Internet. Da Esplora file non si vede nulla di aggiuntivo: accanto a C:Downloadmanuale.pdf può esistere C:Downloadmanuale.pdf:Zone.Identifier, uno stream separato dal contenuto vero e proprio.
La scorciatoia classica era sbloccare il file dalle Proprietà oppure usare Unblock-File in PowerShell, ma così si cancella l’informazione di zona, che non serve solo a Esplora file. Microsoft Office la usa per applicare restrizioni aggiuntive, tra cui il blocco predefinito delle macro VBA.
Con KB5124010 anteprima e provenienza smettono di essere la stessa decisione di sicurezza. Un PDF resta marcato come proveniente da Internet, il MotW resta disponibile per SmartScreen e per le altre applicazioni, e intanto l’anteprima compare lo stesso. I formati diversi da HTML non diventano per questo sicuri per definizione, dato che qualsiasi parser può avere vulnerabilità, ma Windows torna a mostrarne il contenuto mantenendo la precauzione extra per l’HTML.
Fonte: TecnoAndroid
