Il Patch Tuesday record ha un zero-day già sfruttato
Microsoft ha corretto 1.413 vulnerabilità in un solo Patch Tuesday e ha confermato lo sfruttamento attivo di CVE-2026-96951, una falla di Windows Shell già finita nel catalogo KEV di CISA con scadenza federale a due giorni. Il volume del rilascio conta meno di questo dato: l’urgenza operativa si concentra su una singola falla già usata sul campo.
La falla permette a un file proveniente da email o messaggistica di aggirare il tag Mark of the Web. In pratica, il sistema non lo tratta più come contenuto arrivato da internet, e i controlli che dovrebbero frenare download, avvisi e apertura automatica perdono efficacia. Il risultato è che un allegato malevolo può passare oltre le difese che normalmente ne limitano l’impatto.
Per gli ambienti che fanno affidamento su MotW, SmartScreen o Office Protected View, il rischio non è solo il bug in Shell ma il varco di fiducia che apre. Dopo la patch resta vero che un file già passato come “affidabile” può aver aggirato i controlli a monte, quindi la triage deve seguire lo sfruttamento confermato, non il conteggio totale delle CVE.
CVSS 8.8 HIGH: improper neutralization of special elements used in a command ('command injection') in Windows Shell allows an… Patch Microsoft: 5126836.