Windows e SharePoint saltano dal foothold al controllo totale
La falla attivamente sfruttata in afd.sys non è un bug “di patch” qualunque: trasforma un accesso debole già ottenuto in privilegi SYSTEM, e quindi in controllo pieno della macchina. In parallelo, la catena di SharePoint resa pubblica da Rapid7 mostra che anche senza credenziali un server esposto può passare da autenticazione aggirata a esecuzione di codice.
Microsoft ha confermato CVE-2026-68820 come zero-day in sfruttamento, legato a un use-after-free nel driver di rete di Windows; Check Point lo collega alla campagna Dream Job di Lazarus e a un kernel rootkit che può oscurare EDR e telemetria. Rapid7, invece, ha divulgato CVE-2026-63520 come secondo anello di una catena che, insieme al bypass di autenticazione già noto, consente una RCE non autenticata su SharePoint on-premise.
Per chi difende endpoint Windows o farm SharePoint, il punto non è solo la singola CVE. Il quadro dice che i componenti Microsoft trattati spesso come plumbing interno possono diventare il punto di svolta tra un foothold banale e un compromesso esteso dell’ambiente.