Windows Server sotto attacco: exploit critico Netlogon già attivo nelle reti aziendali

Una vulnerabilità critica nel servizio Netlogon di Windows Server permette agli attaccanti di eseguire codice arbitrario in remoto senza autenticazione. Questo buffer overflow rappresenta una seria minaccia per le organizzazioni, poiché consente l'esecuzione di codice attraverso semplici richieste di rete. È fondamentale aggiornare i sistemi il prima possibile per mitigare questo rischio.

Gli aggressori hanno iniziato a sfruttare attivamente una vulnerabilità critica in uno dei componenti chiave di Windows Server solo poche settimane dopo il rilascio della patch. Il problema riguarda il servizio Netlogon, responsabile dell’autenticazione degli utenti e dei servizi sulle reti aziendali. Questi nuovo vettore di attacco potrebbe rappresentare una seria minaccia per le organizzazioni di tutto il mondo.

L’exploit sfrutta il bug di sicurezza monitorato con il codice CVE-2026-41089 (9.8 sulla scala CVSS v3.1), ha avvertito il Centro belga per la sicurezza informatica.

L’agenzia ha riferito che il bug è già stato sfruttato in attacchi reali e ha invitato gli amministratori a installare gli aggiornamenti di sicurezza di maggio il più rapidamente possibile.

Il problema è legato a un buffer overflow nel servizio Netlogon di Windows. Secondo Microsoft, il bug consente di eseguire da remoto codice arbitrario su un controller di dominio senza autenticazione o alcun privilegio.

Per un attacco riuscito, è sufficiente inviare una richiesta di rete appositamente predisposta a un server Windows che funge da controller del dominio. Se la richiesta viene elaborata in modo errato, l’aggressore è in grado di eseguire il proprio codice sul sistema attaccato.

La vulnerabilità colpisce tutte le versioni supportate di Windows Server, incluso Windows Server 2025.

L’autorità CCB belga non ha rivelato i dettagli degli attacchi e non ha specificato quali gruppi si nascondono dietro lo sfruttamento della vulnerabilità. Inoltre, Microsoft non ha ancora aggiornato l’avviso né confermato pubblicamente lo sfruttamento diffuso della falla.

Si consiglia alle organizzazioni di applicare la patch relative al CVE-2026-41089 il prima possibile, data la sua gravità, il potenziale sfruttamento in corso e il fatto che Windows Netlogon si è ritrovato spesso nel mirino degli hacker criminali.

Il servizio Netlogon è un servizio di base che lavora in background e gestisce l’autenticazione nelle reti basate su dominio e, in presenza di bug critici, gli aggressori potrebbero ottenere il controllo del Domain Controller e delle macchine ad esso connesse.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response