Due bug Microsoft aprono la strada a SYSTEM su Windows
La lettura corretta non è “due patch in più”. È che Windows espone insieme un varco di rete e un salto di privilegi locale, e la combinazione abbassa molto la soglia per arrivare a SYSTEM da un foothold iniziale. Trattare la falla di Defender come un semplice EoP locale, o HTTP.sys come un bug isolato del kernel HTTP, fa perdere il rischio vero: la catena.
CSIRT Italia conferma la correzione di CVE-2026-50656, “RoguePlanet”, nel Microsoft Malware Protection Engine di Defender, con PoC pubblico già in circolazione e versioni affette precedenti alla 1.1.26060.3008. Zero Day Initiative segnala anche CVE-2026-47291 in HTTP.sys, una RCE remota non autenticata nel kernel HTTP stack di Windows, con impatto possibile fino all’esecuzione di codice in kernel mode.
Per gli ambienti Windows la conseguenza è netta: un accesso remoto a basso privilegio può diventare molto più facilmente controllo completo del sistema, e la superficie si allarga a host IIS e a endpoint che si affidano al motore Defender. Non è una correzione da leggere in modo puntuale su due advisory separati; è un segnale che il percorso verso SYSTEM su Windows oggi è più realistico del normale.
CVSS 9.8 CRITICAL: integer overflow or wraparound in Windows HTTP.sys allows an unauthorized attacker to execute code over a network. EPSS 25% (98º percentile), in aumento rispetto a 1%. Patch Microsoft: 5094123.
CVSS 7.8 HIGH: microsoft is aware of an elevation of privilege in the Microsoft Malware Protection Engine in Microsoft Defender… EPSS 11% (96º percentile), in aumento rispetto a 0.4%. Patch Microsoft: Release Notes.
Zero Day Initiative — CVE-2026-47291: Remote Code Execution in the Windows HTTP.sys
In this excerpt of a TrendAI Research Services vulnerability report, Yazhi Wang and Jonathan Lein of the TrendAI Research team detail a recently patched remote code execution bug in the Windows HTTP protocol stack.
RoguePlanet: risolta la vulnerabilità in Microsoft Defender
Rilasciati aggiornamenti di sicurezza per risolvere la vulnerabilità CVE-2026-50656, nota con il nome “RoguePlanet” e per la quale risulta disponibile in rete un Proof of Concept (PoC), presente nel motore antimalware Microsoft Malware Protection Engine di Microsoft Defender.