Con gli aggiornamenti di maggio Microsoft ha corretto la CVE-2026-41089, una vulnerabilità con gravità 9,8 nel servizio Netlogon di Windows. Nei giorni scorsi il Centro per la cybersicurezza del Belgio ha aggiornato il suo avviso: in base a informazioni ricevute da partner fidati, la falla è ora sfruttata attivamente. Microsoft, dal canto suo, dichiara di non avere al momento prove di attacchi, ma raccomanda comunque di installare l’aggiornamento. Due versioni che non coincidono, e nel dubbio conviene credere alla più pessimista.
Netlogon è il servizio con cui i domain controller autenticano utenti e computer di un dominio Active Directory. La falla è un buffer overflow: con una richiesta di rete costruita ad arte verso un domain controller, un attaccante esegue codice con i privilegi più alti, senza credenziali e senza alcuna interazione degli utenti. Lo stesso errore può servire anche a far riavviare il server.
Sono coinvolte tutte le versioni supportate di Windows Server, dalla 2012 alla 2025, quando svolgono il ruolo di domain controller. A scoprire la vulnerabilità è stato il team di ricerca offensiva interno di Microsoft. Le analisi della patch sono già pubbliche, e questo accorcia il lavoro di chi vuole scrivere un exploit. Chi la stia sfruttando, e contro chi, l’avviso belga non lo dice.
L’ombra di Zerologon
Il paragone che tutti hanno in mente è Zerologon, la falla Netlogon del 2020 che i gruppi ransomware sfruttarono in massa per mesi. Anche allora la patch era uscita prima che gli attacchi diventassero evidenti, e chi aveva rimandato l’aggiornamento dei domain controller lo pagò caro.
Il domain controller è il cuore di una rete Windows. Chi lo controlla può creare account, leggere le password del dominio e distribuire malware su tutti i computer.
Verifica che tutti i domain controller abbiano gli aggiornamenti di sicurezza di maggio 2026. Tutti significa anche quello nella sede secondaria e quello nel sito di disaster recovery.
I domain controller non devono mai essere raggiungibili da Internet, e il traffico verso di loro va limitato alle sole reti che ne hanno bisogno. Cerca nei log riavvii inattesi del servizio o del server e la creazione di nuovi account privilegiati. E se non hai un piano di ripristino di Active Directory, con backup separati e verificati, questa è la settimana giusta per scriverlo.
