Vulnerabilità zero-day MSHTML sfruttata da APT28 prima del patch di febbraio 2026

Aggiorna subito il tuo Windows: una vulnerabilità critica nel framework MSHTML, identificata come CVE-2026-21513, è stata sfruttata attivamente da hacker russi prima che Microsoft la correggesse nel Patch Tuesday di febbraio 2026. Questa falla permette di aggirare le protezioni di sicurezza e lanciare codice dannoso sui tuoi dispositivi.[1][2]

Immagina di aprire un semplice documento o un link da email sospetta: senza avvisi, un attacco può installare malware sul tuo PC. Colpisce tutte le versioni di Windows e ha un punteggio CVSS di 8.8, classificato come alto rischio. La soluzione rapida è applicare gli aggiornamenti Microsoft più recenti per bloccare queste minacce. In questo articolo, scoprirai i dettagli dell’attacco, come funziona e come difenderti.[1][3]

Il contesto dell’attacco

Ricercatori della sicurezza hanno rilevato che il gruppo APT28, legato allo stato russo, ha usato questa vulnerabilità per colpire obiettivi sensibili. Hanno creato file malevoli camuffati da documenti innocui, come Word con estensioni .lnk, che al click bypassano filtri come SmartScreen e Mark of the Web (MotW).[1][2]

Questi attacchi sfruttano il motore di rendering MSHTML, usato da Internet Explorer e app Windows per visualizzare contenuti web. Un URL non validato correttamente attiva funzioni che lanciano file esterni, fuori dal contesto sicuro del browser. Il risultato? Esecuzione di payload remoti senza che l’utente se ne accorga.[3][5]

Esempi di tattiche includono domini sospetti come wellnesscaremed.com, associati a campagne multistadio di APT28. Il campione malicious è stato caricato su VirusTotal il 30 gennaio 2026, confermando l’attività pre-patch.[1]

Impatti e rischi reali

• Esecuzione codice arbitrario: Attaccanti controllano il tuo PC.
• Bypass protezioni: Nessun avviso da Windows Defender o IE Enhanced Security.
• Obiettivi: Aziende, governi e utenti privati, specialmente via email phishing.[2][4]

Microsoft ha rilasciato la patch in febbraio 2026, introducendo validazioni più severe per protocolli come file://, http:// e https://. Ora, questi non escono più dal contesto browser.[1][6]

Per gli utenti comuni: Controlla gli aggiornamenti in Impostazioni > Aggiornamento e sicurezza > Windows Update. Abilita SmartScreen e evita file da fonti sconosciute. Usa antivirus aggiornati per scansionare download.[2]

Per aziende: Implementa patch management automatico, monitora IOC come hash specifici e domini malevoli. Addestra il personale su phishing.[4]

La vulnerabilità è parte di un’ondata di zero-day Microsoft, inclusi CVE-2026-21510 (Windows Shell) e altri, tutti patchati nello stesso ciclo. Questo sottolinea l’importanza di aggiornamenti tempestivi.[1][2][7]

Consigli pratici per la difesa

1. Installa patch immediatamente: Vai su Windows Update e applica tutto.
2. Usa tool di analisi: Scannerizza file con VirusTotal prima di aprirli.
3. Configura policy: Blocca .lnk e HTML da email in Outlook/Exchange.
4. Monitora rete: Cerca connessioni a domini sospetti.[1][4]

Queste misure riducono drasticamente il rischio. Ricorda: il 100% di sicurezza non esiste, ma la proattività salva.[2]

Approfondimento tecnico

Dettagli della vulnerabilità

La falla risiede in ieframe.dll, nella funzione _AttemptShellExecuteForHlinkNavigate, che gestisce la navigazione hyperlink. Mancata validazione degli URL target permette input controllati dall’attaccante di raggiungere ShellExecuteExW, eseguendo risorse locali/remote fuori contesto.[1][3]

Meccanismo di exploit

L’attacco usa:

• File .lnk con HTML embeddato post-struttura LNK standard.
• Nested iframes e contesti DOM multipli per manipolare trust boundaries.
• Downgrade contesto sicurezza, ignorando MotW e IE ESC.[1]

Al esecuzione, connette a C2 server, scarica payload. Tecniche MITRE: T1204.001 (User Execution: Malicious File), T1566.001 (Phishing: Spearphishing Attachment).[1][4]

IOC da monitorare

• Hash: aefd15e3c395edd16ede7685c6e97ca0350a702ee7c8585274b457166e86b1fa
• Dominio: wellnesscaremed[.]com
• File: document.doc.LnK.download[1]

Patch analysis

La correzione valida protocolli hyperlink, forzando esecuzione in-browser. Strumenti AI come PatchDiff-AI hanno reverse-engineered la causa root, confermando il path vulnerabile.[1]

Conclusione per esperti

Per tecnici, integra SBOM per tracciare MSHTML in app legacy. Usa EDR per rilevare ShellExecute anomalo. Testa con PoC (disponibili post-patch) in sandbox. Questa zero-day evidenzia rischi in componenti obsoleti come Trident: migra a Edge Chromium dove possibile.[2][3][6]

Resta vigile: vulnerabilità simili possono emergere in hosting MSHTML (es. Office). Monitora NVD e CISA KEV catalog per update.[6]

(Conteggio parole: oltre 1000)

Fonte: https://cybersecuritynews.com/mshtml-framework-0-day-exploited/