Windows HTTP.sys: esecuzione di codice remoto critica (CVE-2026-47291)

Il 9 giugno 2026 Microsoft ha pubblicato la correzione per CVE-2026-47291, una vulnerabilità critica di esecuzione di codice remoto in Windows HTTP.sys, il componente che gestisce le richieste HTTP in Windows e Windows Server. Secondo il CSAF pubblicato da Microsoft, un errore di overflow di interi permette a un attaccante non autenticato di eseguire codice attraverso la rete.

Tenable riporta un punteggio CVSS v3.1 di 9,8. La correzione è nei cumulativi di giugno 2026 e va applicata con il normale ciclo di aggiornamento, dando priorità ai server che ricevono traffico HTTP da reti non fidate.

Le fonti divergono su alcuni punti. Una consulenza parla di una vulnerabilità potenzialmente wormable; Automox riporta che Microsoft non la classifica come tale. Quanto allo sfruttamento, VulDB segnala dettagli tecnici noti ma nessun exploit disponibile. Alcune fonti segnalano anche repository che promettono exploit privi di codice: non scaricare nulla da repository di questo tipo.

Non abbiamo trovato nelle fonti consultate una mitigazione ufficiale affidabile. Una fonte di terze parti suggerisce di modificare un parametro di HTTP.sys, ma questa indicazione va verificata con il bollettino Microsoft prima di applicarla.

Aggiornare i server Windows con il ruolo HTTP.sys, verificare che l'aggiornamento di giugno 2026 sia installato e controllare il bollettino Microsoft per lo stato attuale e le build interessate. Le fonti consultate risalgono a giugno: lo stato va confermato direttamente sul bollettino.