home / blog
2026-10-13 · alta
Windows Shell: command injection e bypass di sicurezza (CVE-2026-96951)
Command injection in Windows Shell che permette di aggirare una funzione di sicurezza, presente nel catalogo KEV di CISA. Patch Microsoft di ottobre 2026.
Il 13 ottobre 2026 Microsoft ha pubblicato la scheda di CVE-2026-96951, una command injection in Windows Shell che consente a un attaccante di rete non autenticato di aggirare una funzione di sicurezza. Il punteggio CVSS v3.1 è 8,8.
Il difetto è inserito nel catalogo KEV di CISA, cioè una lista di vulnerabilità per cui esistono prove di sfruttamento attivo. Per questo la patch va trattata come urgente, non come aggiornamento del normale ciclo mensile.
Installare la patch di ottobre 2026 su tutte le versioni di Windows interessate, consultando il bollettino Microsoft per la lista esatta delle build. Dove la patch non è immediata, limitare l'accesso di rete alle macchine Windows esposte.
In sintesi
- Cosa
- Command injection in Windows Shell che consente a un attaccante di rete non autenticato di aggirare una funzione di sicurezza.
- Gravità
- CVSS v3.1 8,8 (alta), secondo il record Microsoft su NVD.
- Causa
- Neutralizzazione insufficiente di caratteri speciali in un comando (CWE-77).
- Stato
- Presente nel catalogo KEV di CISA, quindi segnalato come sfruttato attivamente.
- Azione
- Installare la patch Microsoft di ottobre 2026 su tutte le versioni di Windows interessate, verificandone la lista nel bollettino.