Zero-day Windows del Gruppo Lazarus CVE-2026-68820: applica subito la patch

Uno zero-day usato per settimane contro i contractor della difesa

Il Patch Tuesday di Microsoft di agosto 2026 ha chiuso uno zero-day del kernel di Windows, tracciato come CVE-2026-68820, che il Gruppo Lazarus della Corea del Nord stava già utilizzando contro organizzazioni del settore della difesa per un periodo prolungato prima che diventasse disponibile una correzione. Secondo quanto riportato sulla campagna, la vulnerabilità risiedeva nel driver WinSock (afd.sys), un componente centrale di Windows che gestisce la comunicazione di rete, e consentiva agli aggressori di elevare i privilegi a livello SYSTEM una volta ottenuto un primo punto d'appoggio sul computer bersaglio.

Quel punto d'appoggio iniziale sarebbe arrivato tramite una tattica di social engineering già nota: un PDF con una falsa offerta di lavoro inviato ai dipendenti delle aziende prese di mira. È una mossa classica del playbook del Gruppo Lazarus, che camuffa payload dannosi come materiale di reclutamento per indurre gli addetti dell'industria della difesa ad aprire un documento che innesca la catena di infezione. Una volta innescato l'exploit, il gruppo ha distribuito un rootkit in modalità kernel aggiornato, progettato specificamente per accecare gli strumenti di rilevamento e risposta degli endpoint, ovvero proprio il software su cui molte organizzazioni fanno affidamento per individuare le intrusioni in corso.

L'urgenza qui non è ipotetica. I ricercatori avrebbero segnalato quasi immediatamente che la vulnerabilità in afd.sys recava i tratti distintivi dei metodi di uno Stato-nazione, e non è passato molto tempo prima che venisse identificato il gruppo specifico responsabile. Da allora la CISA ha concesso alle agenzie federali una finestra ridotta, secondo quanto riportato di circa due settimane, per applicare la patch: un indicatore di quanto seriamente i responsabili governativi della sicurezza informatica stiano trattando questa particolare falla.

Come un rootkit in modalità kernel acceca i tuoi strumenti di sicurezza

Il dettaglio tecnico che dovrebbe preoccupare chiunque usi Windows, non solo i contractor della difesa, è il punto in cui opera questo rootkit: a livello del kernel. La maggior parte degli antivirus e dei software di rilevamento degli endpoint funziona monitorando processi e chiamate di sistema da un punto di osservazione relativamente alto nel sistema operativo. Un rootkit in modalità kernel si colloca al di sotto di quel punto di osservazione, dentro il nucleo stesso del sistema operativo, dove può intercettare, sopprimere o falsificare proprio i dati da cui dipendono le decisioni degli strumenti di sicurezza.

In pratica, questo significa che una macchina compromessa può apparire completamente pulita alle proprie difese mentre un aggressore si muove liberamente al suo interno. È per questo che gli exploit a livello kernel sono apprezzati dagli attori delle minacce più sofisticati: non si limitano a superare i software di sicurezza, ma ne neutralizzano la capacità di vedere ciò che accade intorno a loro. Si tratta di un modello di minaccia significativamente diverso dal malware quotidiano che la maggior parte delle persone incontra, ed è uno dei motivi per cui questa vulnerabilità è stata trattata come zero-day prioritario anziché come un bug di routine.

È lo stesso schema più ampio osservato in altre recenti divulgazioni, in cui attori statali e gruppi criminali prendono sempre più di mira l'infrastruttura di cui le organizzazioni si fidano implicitamente. Gli attacchi ai gateway VPN Cisco che hanno coinciso con un maxi lotto di patch Microsoft riflettono un tema simile: gli aggressori colpiscono gli strumenti e i percorsi pensati per proteggere le reti, anziché limitarsi agli endpoint che vi si trovano.

Perché questa campagna è importante oltre il settore della difesa

È allettante leggere una storia sul targeting di contractor della difesa e concludere che sia un problema di qualcun altro. Sarebbe un errore. Il Gruppo Lazarus e operazioni simili sponsorizzate da Stati riadattano regolarmente gli strumenti creati per obiettivi di alto valore contro organizzazioni più piccole, fornitori della catena di approvvigionamento e persino singoli professionisti, una volta che la campagna iniziale diventa pubblica e la pressione per passare oltre è alta. Gli exploit del kernel e i rootkit che accecano gli strumenti di rilevamento non restano a lungo esclusivi degli obiettivi statali, una volta testati sul campo.

Inoltre, l'esca della falsa offerta di lavoro usata in questa campagna è una tecnica ampiamente applicabile. Reclutatori, collaboratori, freelance e persone in cerca di lavoro in molti settori hanno regolarmente a che fare con PDF e documenti non richiesti, e questo la rende un modello facile da adattare ben oltre i dipendenti del settore della difesa.

Che cosa significa per te

Se usi Windows su un dispositivo personale o aziendale, l'insegnamento pratico è semplice: applicare tempestivamente le patch non è un'incombenza facoltativa, ma una difesa reale contro lo sfruttamento attivo. CVE-2026-68820 veniva usata contro organizzazioni reali prima che esistesse una patch, il che significa che qualsiasi sistema non aggiornato è rimasto esposto per tutto quel tempo. Una volta che una correzione come KB5121003 è disponibile, inizia di fatto il conto alla rovescia per i difensori prima che seguano tentativi di sfruttamento più ampi, poiché sia gli aggressori sia i ricercatori fanno reverse engineering delle patch per capire che cosa è stato corretto.

Per chiunque lavori su reti non familiari, che si tratti di un hotel, di un aeroporto o di uno spazio di coworking, questo tipo di vulnerabilità ricorda che nessun singolo livello di protezione è sufficiente. Gli strumenti di sicurezza degli endpoint possono essere accecati. Una VPN cifra il traffico, ma non ferma una compromissione a livello kernel sul dispositivo stesso. Mantenere aggiornato il sistema operativo, essere scettici verso gli allegati non richiesti anche quando sembrano provenire da mittenti legittimi e sovrapporre più difese, con software aggiornato, protezione degli endpoint e abitudini di navigazione sicure, resta il percorso più realistico per restare protetti.

Azioni concrete da intraprendere

• Installa l'aggiornamento del Patch Tuesday di agosto 2026 (KB5121003) il prima possibile, se non l'hai già fatto.
• Tratta con particolare cautela offerte di lavoro non richieste, PDF di reclutamento o allegati inattesi, soprattutto se lavori nella difesa, nel governo o in settori limitrofi.
• Non dare per scontato che l'antivirus o il software di rilevamento degli endpoint garantiscano la sicurezza: i rootkit a livello kernel sono progettati appositamente per eludere questi strumenti.
• Combina una buona igiene delle patch con altre abitudini protettive, come l'uso di una VPN su reti non fidate e l'attivazione dell'autenticazione a più fattori ovunque sia possibile.
• Segui direttamente gli aggiornamenti di CISA e Microsoft se gestisci sistemi in un settore regolamentato o ad alto rischio, perché le tempistiche per applicare le patch alle vulnerabilità critiche possono essere compresse.

Questa patch per lo zero-day di Windows chiude una porta specifica che il Gruppo Lazarus aveva già attraversato, ma è un utile promemoria del fatto che mantenere gli aggiornamenti correnti è una delle poche difese che funziona indipendentemente da chi ti stia prendendo di mira.