Microsoft corregge 22 falle: Entra ID già messo in sicurezza, ma ShieldBreak resta senza patch

Microsoft ha annunciato giovedì il rilascio di 22 aggiornamenti di sicurezza. La maggior parte interessa servizi cloud ed è già stata mitigata lato server. La vulnerabilità più grave per punteggio è una remote code execution in Microsoft Entra ID, identificata come CVE-2026-69836. Alcune fonti l'hanno descritta come zero-day sfruttata in attacchi. L'advisory ufficiale Microsoft smentisce questa circostanza. Resta aperta, invece, la partita su ShieldBreak, una falla zero-day in Microsoft Defender ancora senza patch.

CVE-2026-69836: una RCE critica in Entra ID, già mitigata da Microsoft

La vulnerabilità CVE-2026-69836 riguarda la deserializzazione di dati non attendibili in Microsoft Entra ID. È classificata con CWE-502. Il vettore CVSS 3.1 è AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Il punteggio base è 10.0, il massimo. Un attaccante non autorizzato può eseguire codice sulla rete senza bisogno di credenziali o interazione con l'utente.

Secondo il calcolo temporale di Microsoft, il punteggio scende a 8.7. Le componenti temporali sono: exploit code maturity "unproven", remediation level "official fix", report confidence "confirmed".

La scheda ufficiale MSRC è stata pubblicata il 20 agosto 2026. L'ultimo aggiornamento è del 21 agosto 2026. Microsoft dichiara che la vulnerabilità è già completamente mitigata lato server. Non serve alcuna azione da parte dei clienti. Lo scopo della pubblicazione è garantire trasparenza, come spiegato nel documento "Toward greater transparency: Unveiling Cloud Service CVEs". Il riconoscimento va a Robert Fitzpatrick di Microsoft.

Zero-day sfruttata o no? La divergenza tra SecurityWeek e l'advisory MSRC

SecurityWeek ha descritto CVE-2026-69836 come "zero-day exploited in attacks". L'articolo aggiungeva che Microsoft non aveva condiviso informazioni sugli attacchi. L'advisory ufficiale MSRC, però, riporta un quadro diverso. Alla pubblicazione originale, i campi "Publicly Disclosed" e "Exploited" erano entrambi "No". La valutazione di sfruttabilità era "Exploitation Less Likely".

La revisione 1.1 del 21 agosto ha corretto il campo "Exploited" su "No". La nota specifica che la vulnerabilità non è stata sfruttata in the wild. Si tratta di una modifica solo informativa. I lettori devono quindi considerare entrambe le versioni: la descrizione giornalistica parla di sfruttamento attivo, ma il dato ufficiale dell'advisory è di non sfruttamento. La discrepanza non è ancora stata chiarita dalle fonti disponibili.

Le altre falle con punteggio CVSS 10: Azure, Exchange Online, Azure Arc

Il pacchetto di agosto comprende altre cinque vulnerabilità con punteggio base 10.0 nel database NVD. Tutte descrivono un attaccante non autorizzato che opera sulla rete. CVE-2026-65770 interessa Azure Managed Instance for Apache Cassandra ed è un'argument injection (CWE-88). CVE-2026-65801 riguarda Microsoft Exchange Online ed è una SSRF (CWE-918). CVE-2026-65816 colpisce Azure Arc ed è un uso errato di nomi o riferimenti (CWE-706). CVE-2026-69502 interessa Azure SQL Database ed è una SSRF (CWE-918). CVE-2026-69555 riguarda ancora Azure Arc ed è un'autorizzazione errata (CWE-863).

Il vettore CVSS 3.1 è identico per tutte: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, tranne per CVE-2026-69502 e CVE-2026-69555 che hanno impatto sulla disponibilità "Nessuno" (A:N). Nonostante questo, il punteggio base resta 10,0 per effetto dello scope "Changed" e degli impatti su riservatezza e integrità. Microsoft ha già mitigato tutte queste vulnerabilità lato server. Non è richiesta alcuna azione ai clienti.

Altre criticità e il pacchetto cloud

SecurityWeek elenca altre sette vulnerabilità critiche di elevazione di privilegi, tutte risolte nello stesso ciclo. Non sono forniti punteggi CVSS né vettori per queste. Gli identificativi sono: CVE-2026-68782, CVE-2026-68789 e CVE-2026-66309 per Azure SQL Database; CVE-2026-63509 per Microsoft Fabric; CVE-2026-69851 per Entra ID; CVE-2026-69400 per Azure Logic Apps; CVE-2026-62834 per "Azure Data Factor" (probabile refuso per Azure Data Factory).

Per CVE-2026-68782, il punteggio CVSS risulta 9.9 con vettore AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Le restanti non hanno punteggi pubblici nelle fonti disponibili.

La fonte cita anche vulnerabilità ad alta severità corrette in Azure Virtual Machines, Microsoft Partner Center, Azure Data Factory, Azure Stack HCI, Azure Data Manager for Energy, Copilot in Azure e Windows Remote Help Defense, senza elencare singoli identificativi CVE. Anche in questo caso, la maggior parte delle vulnerabilità cloud è già mitigata lato server.

Copilot: command injection risolta in settimana

SecurityWeek riferisce che "earlier this week" Microsoft ha corretto un bug di command injection ad alta severità in Copilot. La vulnerabilità è identificata come CVE-2026-24301. La descrizione giornalistica la indica come sfruttabile da remoto per divulgazione di informazioni. Il vettore CVSS 3.1 completo, con punteggio 8.8, è AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. La correzione è già stata distribuita e non sono indicate azioni residue per i clienti.

ShieldBreak: la falla in Defender resta senza patch ufficiale

La scorsa settimana Microsoft ha annunciato di essere al lavoro su una patch per ShieldBreak. Si tratta di un exploit zero-day per Microsoft Defender, rilasciato durante il Patch Tuesday di agosto 2026 dal ricercatore Nightmare Eclipse, noto anche come Chaotic Eclipse. La vulnerabilità bersaglio è una elevazione di privilegi nel Microsoft Malware Protection Engine, identificata come CVE-2026-69414. Il punteggio CVSS è 7.8, gravità alta.

Microsoft ha dichiarato: "Microsoft è a conoscenza di una elevazione di privilegi nel Microsoft Malware Protection Engine in Microsoft Defender pubblicamente nota come 'ShieldBreak'. Stiamo lavorando per fornire un aggiornamento di sicurezza di alta qualità che risolva la vulnerabilità." Al momento della fonte, la patch non risulta ancora distribuita. Non sono indicati workaround o tempistiche.

Che cosa devono fare gli utenti

Per la maggior parte delle vulnerabilità annunciate, gli utenti non devono applicare nulla. Le mitigazioni per i servizi cloud come Entra ID, Azure SQL Database, Exchange Online e gli altri sono già state distribuite lato server da Microsoft. Per Copilot, la correzione è già attiva. Per ShieldBreak, invece, non esiste ancora una patch ufficiale e non sono disponibili workaround. Gli amministratori dovrebbero monitorare il bollettino Microsoft per l'uscita dell'aggiornamento.

Le versioni esatte dei prodotti interessati non sono state rese note. Non è indicato se le vulnerabilità siano state inserite nel catalogo KEV della CISA, né se vi siano scadenze operative imposte. Chi gestisce infrastrutture con Microsoft Defender dovrebbe tenere alta l'attenzione su CVE-2026-69414 e verificare eventuali aggiornamenti nelle prossime ore o giorni.