Patch Tuesday febbraio 2026: sei zero-day già sfruttate, Google corregge falla critica in Chrome

Microsoft corregge 59 vulnerabilità con sei zero-day attivamente sfruttate. Google rilascia patch urgente per Chrome CVE-2026-2441. Analisi tecnica e indicazio…

Contenuto

Patch Tuesday febbraio 2026: sei zero-day già sfruttate, Google corregge falla critica in Chrome

Scopri anche

Patch Tuesday febbraio 2026: sei zero-day già sfruttate, Google corregge falla critica in Chrome

Patch Tuesday febbraio 2026: sei zero-day già sfruttate, Google corregge falla critica in Chrome

In questo articolo:

L'11 febbraio 2026 Microsoft ha pubblicato il consueto pacchetto di aggiornamenti di sicurezza mensile correggendo 58-59 vulnerabilità distribuite tra Windows, Office, Azure, Edge, .NET, Visual Studio, GitHub Copilot, Exchange Server, Hyper-V e Internet Explorer. Il dato che distingue questo ciclo è la presenza di sei vulnerabilità zero-day già attivamente sfruttate in attacchi reali, con tre di esse note pubblicamente prima della correzione.

Parallelamente, Google ha rilasciato un aggiornamento di sicurezza per correggere una vulnerabilità zero-day nel browser Chrome, identificata come CVE-2026-2441, classificata ad alta gravità e già sfruttata in attacchi reali. Nel solo 2025 Google aveva corretto almeno 8 vulnerabilità zero-day attivamente sfruttate in Chrome, confermando un trend di attacchi sempre più sofisticati rivolti alla superficie di attacco dei browser moderni.

Definizione tecnica di zero-day e implicazioni operative

⬆ Torna su

Il termine zero-day indica una falla sfruttata dagli attaccanti prima che il produttore abbia sviluppato e distribuito la correzione. L'espressione "in the wild" segnala che l'uso è stato osservato in campagne reali, non in proof of concept dimostrativi. Questo cambia la gestione operativa perché l'attore malevolo dispone già di una catena funzionante e, quando la patch diventa pubblica, altri attori possono seguirne la traccia e scalare la stessa tecnica su più target.

La frase "zero-day sfruttata in the wild" rappresenta un dato di rischio: l'attacco è avvenuto quando non esisteva ancora una correzione pubblica. In questo scenario il tempo diventa un moltiplicatore: più si attende, più il numero di macchine esposte resta alto e più cresce la probabilità che l'attacco trovi un varco.

Le sei vulnerabilità zero-day Microsoft già sfruttate

⬆ Torna su

Le sei CVE già sfruttate si dividono in due blocchi. Da una parte tre Security Feature Bypass che mirano ai guard rail di Windows e Office. Dall'altra due Elevation of Privilege che portano a SYSTEM e un Denial of Service locale su un componente di connessione.

La CVE-2026-21510 colpisce la Windows Shell con punteggio CVSS 8.8 e interessa tutte le versioni supportate di Windows. Il meccanismo di attacco prevede che l'utente faccia clic su un collegamento malevolo per aggirare completamente la funzione SmartScreen. Un singolo clic consente l'esecuzione di codice arbitrario sulla macchina della vittima.

La CVE-2026-21513 riguarda MSHTML, il motore proprietario del browser Internet Explorer, ancora presente nelle versioni recenti di Windows per compatibilità con applicazioni legacy. La vulnerabilità consente agli attaccanti di bypassare le protezioni di sicurezza per installare malware, con punteggio CVSS 8.8.

La CVE-2026-21514 colpisce Microsoft Word e consente l'aggiramento delle protezioni sui controlli COM/OLE pericolosi semplicemente facendo aprire alla vittima un documento appositamente confezionato. Il riquadro di anteprima non costituisce un vettore di attacco.

La CVE-2026-21519 riguarda il Desktop Window Manager e consente l'elevazione dei privilegi fino al livello SYSTEM. È il secondo mese consecutivo in cui una vulnerabilità zero-day colpisce il DWM.

La CVE-2026-21533 colpisce i Remote Desktop Services di Windows e consente l'elevazione a privilegi SYSTEM. Microsoft ha identificato la causa nella gestione impropria dei privilegi, e i sistemi con RDS attivo sono tipicamente server di alto valore.

La CVE-2026-21525 è una vulnerabilità di tipo denial-of-service nel Remote Access Connection Manager, il servizio che gestisce le connessioni VPN verso le reti aziendali. Vedere un bug DoS attivamente sfruttato è inusuale e suggerisce impiego in catene di attacco più complesse.

La vulnerabilità zero-day in Chrome

⬆ Torna su

La vulnerabilità CVE-2026-2441 in Chrome è un errore di gestione della memoria di tipo use-after-free, che si verifica nel sottosistema CSS del motore di rendering. Questa categoria di vulnerabilità si manifesta quando un puntatore continua a essere utilizzato dopo che l'area di memoria a cui fa riferimento è stata liberata.

In un browser, questa situazione può essere sfruttata per alterare la memoria heap e arrivare a eseguire codice arbitrario all'interno del processo di rendering. L'exploit può essere attivato inducendo l'utente ad aprire una pagina HTML appositamente costruita, scenario tipico di campagne di phishing o watering hole.

Google ha corretto la falla nelle versioni stabili Chrome 145.0.7632.75 e 145.0.7632.76 per Windows e macOS, oltre alla build 144.0.7559.75 per Linux. Gli aggiornamenti richiedono il riavvio del browser per essere applicati.

Vulnerabilità critiche nell'ecosistema Azure e cloud

⬆ Torna su

Tra le cinque vulnerabilità classificate come critiche figurano problemi nell'ecosistema cloud Microsoft. Azure Front Door presenta una falla con punteggio CVSS 9.8, il più alto dell'intero rilascio. Azure Arc e Azure Functions sono stati interessati da bug che Microsoft dichiara di aver già risolto lato server.

Due vulnerabilità critiche nei container confidenziali ACI consentono rispettivamente la fuga dal container e la divulgazione di token e chiavi segrete. La CVE-2026-21531 nell'Azure SDK per Python, classificata come Important nonostante un CVSS di 9.8, consente a un attaccante remoto non autenticato di ottenere l'esecuzione di codice attraverso un continuation token appositamente costruito.

Vulnerabilità in GitHub Copilot e ambienti di sviluppo

⬆ Torna su

Microsoft ha corretto diverse vulnerabilità di esecuzione di codice remoto in GitHub Copilot e negli ambienti di sviluppo integrati Visual Studio Code, Visual Studio e JetBrains. Queste falle derivano da vulnerabilità di command injection attivabili tramite prompt injection, ovvero la capacità di indurre l'agente IA a eseguire operazioni non previste.

Gli sviluppatori sono bersagli ad alto valore perché dispongono di accesso a chiavi API, credenziali e segreti che fungono da chiave d'accesso a infrastrutture critiche, compresi ambienti cloud privilegiati su AWS o Azure.

Aggiornamenti per Windows 11 e scadenza certificati Secure Boot

⬆ Torna su

Per Windows 11 24H2 e 25H2, Microsoft ha rilasciato l'aggiornamento KB5077181, che porta i sistemi alle build 26100.7840 e 26200.7840. Per Windows 11 23H2 è stato distribuito KB5075941, che porta il sistema alla build 22631.6649.

Microsoft segnala una scadenza imminente: i certificati Secure Boot utilizzati dalla maggior parte dei dispositivi Windows inizieranno a scadere da giugno 2026. KB5075912 sostituisce i certificati Secure Boot 2011. Su dispositivi che già dispongono del certificato Windows UEFI CA 2023 nel database delle firme Secure Boot, l'aggiornamento sostituirà la versione bootmgfw.efi firmata nel 2011 con quella firmata nel 2023.

Indicazioni operative per la mitigazione

⬆ Torna su

La principale misura di difesa resta l'aggiornamento tempestivo del software. Per Windows 10 e Windows 11 l'azione suggerita è aprire Impostazioni, accedere a Windows Update, verificare disponibilità aggiornamenti, installare e riavviare. Questo mese è necessario aggiornare anche Office: tra i sei zero-day c'è un bypass che riguarda Microsoft Word.

Per le organizzazioni, la risposta indicata è una patch strategy a due velocità: una ring ristretta per validare rapidamente e poi rollout accelerato sui sistemi che combinano esposizione e impatto, come endpoint utente, host RDS, VDI, jump box e macchine di supporto remoto.

Il punto fragile più comune è il riavvio: se si installa ma non si riavvia, molte correzioni restano sospese. È necessario verificare che l'installazione sia completata e che il sistema non stia attendendo una ripartenza. Che si usi Intune, WSUS o Configuration Manager, il risultato deve essere un report di conformità che indica quanti endpoint sono effettivamente patchati, quanti sono in attesa di riavvio e quali sono bloccati.

Coordinamento con altri fornitori

⬆ Torna su

Oltre a Microsoft, oltre 60 fornitori hanno rilasciato patch nel ciclo di febbraio 2026. Adobe ha aggiornato tool come Audition e After Effects, mentre SAP ha affrontato iniezioni SQL e mancati controlli di autorizzazione. Intel ha identificato cinque CVE e circa 36 debolezze in TDX 1.5. L'elenco completo include AutomationDirect, Broadcom, VMware, Canon, Check Point, Commvault, D-Link, F5, Foxit, Fujitsu, Gigabyte, GitLab, Grafana, Ivanti, MediaTek, Mitsubishi, MongoDB, QNAP, Ricoh, Rockwell, Schneider, ServiceNow, SolarWinds, Splunk, Synology, TP-Link, WatchGuard, Zoom e altri.

Questo articolo è una sintesi basata esclusivamente sulle fonti elencate.

Implicazioni e scenari

⬆ Torna su

La presenza simultanea di sei zero-day già sfruttate e di una falla critica in Chrome configura un ciclo di patch ad alto rischio operativo. La correlazione tra vulnerabilità in SmartScreen, MSHTML e Word suggerisce possibili catene di attacco che combinano vettori documentali e di navigazione web, rendendo critica la tempistica di applicazione degli aggiornamenti.

  • Scenario 1: Le organizzazioni che applicano le patch ma posticipano i riavvii potrebbero rimanere esposte a lungo, dato che molte correzioni Windows richiedono il riavvio per diventare effettive.
  • Scenario 2: Con la pubblicazione delle correzioni, attori secondari potrebbero sviluppare exploit derivati dalle CVE ormai note, estendendo il perimetro d'attacco oltre gli attori originari.
  • Scenario 3: La scadenza dei certificati Secure Boot da giugno 2026 potrebbe generare una nuova superficie di rischio se gli aggiornamenti firmware non vengono coordinati tempestivamente con la sostituzione dei certificati.

Cosa monitorare

⬆ Torna su
  • Percentuale di endpoint con patch installata ma ancora in attesa di riavvio.
  • Segnalazioni di campagne che combinano le CVE SmartScreen, Word e Chrome in catene coordinate.
  • Stato di avanzamento della distribuzione del certificato Secure Boot 2023 nei dispositivi aziendali.

Nota editoriale: questa sezione propone una lettura analitica dei temi trattati, senza introdurre dati fattuali non presenti nelle fonti.

Fonti

⬆ Torna su

In breve

  • sicurezza
  • Microsoft
  • Google
  • Chrome

Link utili

Apri l'articolo su DeafNews