Vulnerabilità · 8 ore fa
Qualys ha analizzato BlueHammer (CVE-2026-33825): la catena di escalatione locale dei privilegi in Microsoft Defender può trasformare un accesso da utente standard in privilegi SYSTEM, ma la versione installata non basta a stabilire se funzioni su quel singolo host.
La catena sfrutta la gestione dei file e gli aggiornamenti di Defender: operazioni temporizzate fanno sì che un servizio privilegiato agisca sui file in modo da superare il confine dei privilegi. Nel laboratorio di Qualys, il percorso ha raggiunto SYSTEM e permesso di recuperare credenziali da LSASS, poi usate per muoversi lateralmente.
Microsoft indica come vulnerabili le versioni della Microsoft Defender Antimalware Platform precedenti alla 4.18.26030.3011. La riuscita dipende però anche dallo stato e dai componenti attivi a runtime. La validazione non distruttiva descritta da Qualys verifica solo una fase iniziale, senza arrivare all’estrazione delle credenziali: una scansione delle versioni può quindi sovrastimare o sottostimare l’esposizione reale.
Sfruttamento noto · CISA KEV
CVSS 7.8 HIGH: insufficient granularity of access control in Microsoft Defender allows an authorized attacker to elevate privileges… Patch Microsoft: Release Notes.
Data di correzione federale CISA 6 mag · data superata
1 fonte che coprono questa storia
BlueHammer CVE-2026-33825: Defender LPE Explained | Qualys
BlueHammer is an eight-stage Windows Defender LPE (CVE-2026-33825).
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-10-21