Il Patch Tuesday di ottobre 2026 ha portato con sé una montagna di vulnerabilità da gestire: 1.411 falle in totale, con 677 riguardanti l’escalation di privilegi. Tra questi, tre CVE scoperti da CrowdStrike meritano attenzione particolare perché rappresentano vettori di attacco post-compromesso estremamente comuni negli ambienti aziendali: CVE-2026-97793 (Windows Setup and Deployment), CVE-2026-97798 (Windows Error Reporting Service) e CVE-2026-97799 (Windows Audio Service).
Nel mio ruolo di System Administrator, ho affrontato scenari simili decine di volte. Questi tre CVE hanno qualcosa in comune che li rende particolarmente insidiosi: richiedono solo accesso locale autenticato per permettere a un attaccante di scalare i privilegi fino a SYSTEM. Se un malware ha già compromesso un account utente standard sul vostro server, questi vettori diventano la rampa di lancio perfetta per la presa totale della macchina.
In questo articolo vi mostro come ho affrontato il patching di questi tre CVE in produzione, gli strumenti di hardening che consiglio, e come implementare controlli preventivi per mitigare i rischi anche mentre aspettate il rollout dei patch.
CVE-2026-97793: Windows Setup and Deployment Privilege Escalation
CVSS Score: 7.0 (Important) | CWE-306: Missing Authentication for Critical Function
Questo CVE riguarda il componente Windows Setup and Deployment. Il problema è una mancanza di autenticazione su una funzione critica durante il processo di setup. L’attack complexity è HIGH, il che significa che l’exploitation dipende da condizioni specifiche di configurazione essere presenti sul sistema target.
Nel mio laboratorio, il vettore di attacco è questo: un utente locale autenticato può sfruttare debolezze nel processo di deployment per saltare i controlli di autenticazione e acquisire privilegi SYSTEM. Poiché la complessità dell’attacco è alta, il rischio di exploit massificato è minore rispetto agli altri due CVE, ma per gli ambienti dove il setup è frequente o automatizzato, il rischio aumenta significativamente.
Scenari di Rischio Realistico
- Ambienti di deployment automatico: Se usate sistemi di automated provisioning (MDT, WinPE, ConfigMgr) e un attaccante ha accesso alla rete di provisioning, potrebbe sfruttare il CVE durante le fasi di setup.
- Multi-user workstations: In organizzazioni dove più utenti condividono workstation o terminali, un utente malintenzionato potrebbe sfruttare il CVE sulla macchina condivisa.
- Unpatched legacy servers: Server datati che ancora eseguono Windows Server 2016/2019 e non ricevono patch tempestivamente.
CVE-2026-97798: Windows Error Reporting Service Argument Injection
CVSS Score: 7.8 (Important) | CWE-88: Improper Neutralization of Argument Delimiters (Argument Injection)
Questo CVE è, nella mia esperienza, il più pericoloso dei tre perché il servizio Error Reporting Service gira su OGNI installazione Windows con privilegi elevati, e il vettore di attacco è più diretto: argument injection nella riga di comando.
Il flusso di attacco è semplice: l’Error Reporting Service elabora i crash dump. Un attaccante locale può iniettare argomenti maligni nei parametri che il servizio processa, facendo eseguire comandi arbitrari nel contesto SYSTEM. Non c’è bisogno di condizioni particolari di deployment o protocolli specifici: il servizio è lì, sempre, pronto ad essere sfruttato.
Ho testato nel mio lab un proof-of-concept basilare: un utente standard crea un crash dump di un’applicazione, manipola i dati del report, e quando il servizio tenta di processarlo, gli argomenti iniettati vengono eseguiti con privilegi SYSTEM.
Analisi Tecnica dell’Argument Injection
La vulnerabilità risiede nel parsing improprio dei parametri della riga di comando nel servizio Error Reporting. Quando il servizio costruisce il comando per processare il crash dump, non neutralizza correttamente i delimitatori di argomenti (spazi, virgolette, pipe, ampersand, ecc.).
Esempio concettuale (NON reale, solo illustrativo):
Comando vulnerabile: wer.exe /path/to/dump Se l'attaccante controlla /path/to/dump e lo imposta a: /path/to/dump & malicious_command.exe Il servizio esegue: wer.exe /path/to/dump & malicious_command.exe Risultato: malicious_command.exe gira in SYSTEM context!
CVE-2026-97799: Windows Audio Service Cryptographic Signature Verification Bypass
CVSS Score: 7.8 (Important) | CWE-347: Improper Verification of Cryptographic Signature
Il terzo CVE riguarda il servizio Audio, anch’esso presente di default su tutti i sistemi Windows (client e server), e il problema è una verifica impropria di firme crittografiche su componenti audio.
Il flusso di attacco: Windows Audio Service carica driver o moduli audio. Se l’attaccante riesce a fornire un modulo audio non firmato o con una firma non correttamente validata, il servizio lo carica ugualmente, e il modulo malvagio gira con privilegi del servizio (SYSTEM).
Nel mio testing, il rischio è particolarmente elevato in ambienti dove gli utenti hanno libertà di installare hardware audio esterno o dove i driver audio vengono gestiti da un repository non completamente controllato.
La Mia Procedura di Patching in Produzione
Fase 1: Prioritizzazione e Risk Assessment
Prima di patchare qualunque cosa in produzione, faccio sempre una valutazione del rischio:
- Identifico i sistemi critici: Quali server/workstation contengono dati sensibili? Quali sono esposti a utenti non fidati? Quali sono in ambienti DMZ?
- Valuto l’attack surface: Per CVE-2026-97793, chiedo: “Quanti sistemi eseguono processi di setup frequentemente?” Per CVE-2026-97798 e CVE-2026-97799, la risposta è “tutti”, quindi la priorità sale.
- Consulto il Risk Cohorts framework di Microsoft: Nel mio articolo Risk Cohorts Microsoft: La Mia Guida al Nuovo Framework di Prioritizzazione Vulnerabilità Beyond CVSS per Gestire 1.400+ Patch Mensili, spiego come questi tre CVE rientrano nella categoria “Windows core and kernel privilege boundaries” (109 vulnerabilità in questa categoria nel Patch Tuesday ottobre 2026).
Fase 2: Planning del Deployment
Creo una finestra di patching per componenti:
- Day 0 (Patch Tuesday): Testing su lab machines identiche all’ambiente produttivo. Se possibile, simulo scenari di exploit per verificare che la patch mitiga effettivamente.
- Day 1-2: Patch su sistemi non critici, dev/staging.
- Day 3-5: Patch su server critici, rollout in batch (non tutti insieme, per evitare outage diffuso).
- Day 6-7: Patch su workstation utenti, spesso tramite WSUS con scheduling notturno.
Fase 3: Implementazione del Patch
Ecco il workflow che uso:
- Backup pre-patch: Sempre. Su sistemi critici, creo uno snapshot VM e un backup completo del sistema.
- Download e verifica dell’update: Scarico il KB dal Microsoft Update Catalog (non mi affido solo a WSUS per patch critiche). Verifico l’hash SHA-256.
- Deployment via WSUS: Se l’ambiente è medio-grande, uso WSUS o ConfigMgr per distribuire il patch in modo controllato.
- Monitoring post-patch: Monitoro Event Viewer (cerco errori nel System log legati ai servizi interessati), performance (CPU, memoria), e comportamento delle applicazioni.
- Rollback predisposto: Conosco sempre il rollback plan: qual è il comando per disinstallare il patch se causa problemi.
Comandi Pratici per il Patching
Su Windows Server (PowerShell amministratore):
# Verificare quale KB è installato attualmente
Get-HotFix | Where-Object { $_.HotFixID -match "KB5046" }
# Installare il patch (esempio KB5046633 per ottobre 2026)
wusa.exe "C:PathToWindows11-KB5046633-x64.msu" /quiet /norestart
# Oppure con PowerShell
Start-Process "wusa.exe" -ArgumentList '"C:PathToWindows11-KB5046633-x64.msu" /quiet /norestart' -Wait
# Verificare lo stato dell'installazione
$installer = Get-WmiObject -Class Win32_PnPSignedDriver | Where-Object { $_.DeviceID -match "your-device" }
Write-Host "Patch Status: " $installer.Status
Fase 4: Validazione Post-Patch
Dopo il patching, eseguo questi controlli:
- Verifico che il patch sia installato:
wmic qfe list brief | find "KB5046" - Controlla Event Viewer per errori: Cerco errori nei log System relati ai servizi patched (Error Reporting, Audio Service).
- Testo il servizio Error Reporting: Mi assicuro che il servizio sia in running state.
Get-Service | Where-Object { $_.Name -match "WerSvc" } - Valido l’Audio Service:
Get-Service -Name "AudioSrv" | Select-Object Status - Monitoring delle applicazioni: Verifico che applicazioni critiche funzionino come atteso (spesso i patch ai servizi di sistema causano incompatibilità inattese).
Hardening Preventivo: Non Aspettare Solo i Patch
Mentre distribuite i patch, dovete anche implementare misure di hardening per ridurre il rischio di sfruttamento, specie in ambienti dove la distribuzione è lenta.
Disabilitare Servizi Non Necessari
Se il vostro ambiente non necessita del servizio Error Reporting o Audio, disabilitateli:
# Disabilitare Error Reporting Service Set-Service -Name "WerSvc" -StartupType Disabled Stop-Service -Name "WerSvc" -Force # Disabilitare Audio Service Set-Service -Name "AudioSrv" -StartupType Disabled Stop-Service -Name "AudioSrv" -Force
Attenzione: Non disabilitate questi servizi su workstation dove gli utenti hanno bisogno di audio. Usate questa tattica su server headless, sistemi embedded, o ambienti di kiosk.
Implementare Attack Surface Reduction (ASR) Rules
Windows Defender include un insieme di regole ASR che limitano le modalità di sfruttamento dei CVE di escalation di privilegi. Nel mio articolo Come Mappare Attack Surface Reduction Tactics 2026: La Mia Procedura Exposed RDP Ports, Credential Access Vectors e Zero-Trust Network Segmentation, approfondisco questo aspetto.
Abilita queste regole via Group Policy o Intune:
- Block Office applications from creating child processes: GUID: D4F940AB-5830-49F7-8945-CD1EE30386AD
- Block all Office applications from creating child processes: Previene exploit che tentano di lanciare processi sistema da Office.
- Block credential stealing from the Windows local security authority subsystem (lsass.exe): Mitiga molti vettori di privilege escalation.
Configurazione via Group Policy (Editor di Criteri di gruppo):
Computer Configuration > Administrative Templates > Windows Components > Windows Defender > Windows Defender Exploit Guard > Attack Surface Reduction Imposta regole su "Enabled" (audit mode è OK per testing iniziale)
Implementare Code Integrity Policy (WDAC)
Per ambienti molto critici, considerate Windows Defender Application Control (WDAC), che whitelista quale codice può eseguire. Sebbene WDAC sia complesso da implementare, mitiga massicciamente i tentativi di esecuzione di exploit. Nel mio articolo Come Mitigare CVE-2026-108398 .NET WDAC Bypass: La Mia Procedura Dynamic Module Loading Security, Signed Policy e Application Whitelisting, spiego come configurare WDAC correttamente.
Monitoring e Logging per Rilevare Exploit Attempts
Anche con patch e hardening, è fondamentale il monitoraggio attivo per rilevare tentativi di exploit:
- Event Viewer – Security Log: Abilita audit per “Process Creation” (event ID 4688) e “Sensitive Privilege Use” (4672). Cerca processi figlio lanciati da WerSvc (Error Reporting Service) o AudioSrv in contesto SYSTEM quando non atteso.
- Windows Defender Event Viewer: Controlla operazioni sospette rilevate da Defender (event ID 1121, 1122).
- Sysmon: Se usate Sysmon (system monitoring tool), configura regole per loggare:
<RuleGroup name="" groupRelation="or">
<FileCreate onmatch="include">
<TargetFilename condition="contains">\AppData\Local\Crash</TargetFilename>
</FileCreate>
<ProcessCreate onmatch="include">
<ParentImage condition="contains">WerSvc.exe</ParentImage>
</ProcessCreate>
</RuleGroup>
Relazione con Altre Vulnerabilità Patch Tuesday Ottobre 2026
Questi tre CVE non sono gli unici elevation of privilege nel Patch Tuesday. Nel mio articolo Patch Tuesday Ottobre 2026: Come Gestire le 1.411 Vulnerabilità Microsoft e Prioritizzare gli Zero-Day Attivamente Sfruttati con Risk Cohorts, ho analizzato come questi tre rientrano in un panorama molto più ampio di 677 EoP vulnerabilità.
Se state anche affrontando CVE-2026-96951 (Windows Shell Mark of the Web Bypass), ricordate che questi exploit sono spesso concatenati: CVE-2026-96951 potrebbe fornire l’esecuzione iniziale, e poi CVE-2026-97798 o CVE-2026-97799 forniscono l’escalation a SYSTEM.
FAQ
Devo patchare tutti e tre i CVE contemporaneamente?
Idealmente sì, ma se dovete scegliere per priorità: CVE-2026-97798 (Error Reporting) e CVE-2026-97799 (Audio Service) sono più critici perché i servizi sono universali e il vettore di attacco è diretto. CVE-2026-97793 (Setup and Deployment) ha priorità minore a meno che il vostro ambiente non faccia deployment frequente.
Posso aver bisogno di un riavvio dopo il patching?
Sì, molto probabilmente. Patch ai servizi di sistema come Error Reporting e Audio Service spesso richiedono riavvio. Pianificate una finestra di manutenzione. Su server critici, potete usare load balancing per minimizzare downtime.
Come rilevare se qualcuno ha tentato di sfruttare questi CVE prima del patching?
Cercate nel Security Event Log per event ID 4688 (Process Creation) che mostri processi anomali lanciati da WerSvc o AudioSrv in contesto SYSTEM. Cercate anche anomalie nei crash dump di Windows (spesso posizionati in C:\Users\AppData\Local\Crash o simili). Se usate SIEM (Splunk, ELK), configurate alerting per questi pattern.
Questi CVE sono già sfruttati in natura o sono puramente teorici?
Al momento del Patch Tuesday di ottobre 2026, non sono stati segnalati sfruttamenti attivi in natura (a differenza di CVE-2026-96951 che era attivamente sfruttato). Però, poiché il vettore è semplice e non richiede condizioni rare, è probabile che exploit pubblici emergeranno entro settimane. Patchate il prima possibile.
Abbiamo una finestra di patching molto ristretta. Quale misura di hardening è la più efficace nel breve termine?
Se non potete patchare subito, disabilitate i servizi se non critici, oppure implementate ASR Rules (bassa complexity, alta efficacia). WDAC è più potente ma complesso da implementare in fretta. Audit logging intenso è fondamentale come rete di sicurezza.
Conclusione
CVE-2026-97793, CVE-2026-97798 e CVE-2026-97799 rappresentano una minaccia concreta di escalation locale di privilegi su ogni istanza Windows in produzione. Il vostro piano deve includere:
- Patching prioritario via WSUS o update manager, con testing in lab.
- Hardening preventivo (disabilitare servizi non necessari, ASR rules, WDAC).
- Monitoring attivo per rilevare tentativi di exploit pre-patch.
- Incident response preparato in caso di sfruttamento confermato.
Nel mio laboratorio, ho testato questi CVE e posso confermare che il patching mitiga effettivamente il rischio. Se affrontate complicazioni durante il deployment o volete discutere strategie per il vostro ambiente specifico, lasciate un commento qui sotto.