Introduzione
Nel mondo della sicurezza informatica, le cosiddette vulnerabilità “zero-day” rappresentano una delle minacce più insidiose: si tratta di falle nel software che vengono sfruttate dai criminali informatici prima ancora che il produttore abbia avuto il tempo di rilasciare una correzione. Un caso recente riguarda un gruppo di hacker legato alla Russia, noto come APT28, che ha sfruttato proprio una vulnerabilità di questo tipo nei sistemi Windows prima che Microsoft potesse intervenire.
Cosa è successo
All’inizio del 2026, i ricercatori della società di sicurezza informatica Akamai hanno individuato un file sospetto caricato su VirusTotal il 30 gennaio 2026. Quell’analisi ha rivelato che il file era collegato all’infrastruttura utilizzata da APT28, un gruppo di attori malevoli che le autorità e i ricercatori di settore associano alla Russia. Il gruppo stava sfruttando una vulnerabilità, identificata come CVE-2026-21513, presente nel componente MSHTML di Windows, ovvero il motore che il sistema operativo utilizza per visualizzare contenuti web in molte applicazioni. La falla, classificata come piuttosto grave con un punteggio di rischio di 8.8 su 10, permetteva agli aggressori di aggirare alcune protezioni di sicurezza di Windows, eludere una funzione chiamata Mark-of-the-Web (che normalmente avvisa l’utente quando un file proviene da internet) e, nei casi più seri, eseguire codice malevolo sul computer della vittima al di fuori del normale ambiente protetto del browser. Microsoft ha rilasciato la correzione solo con il ciclo di aggiornamenti di febbraio 2026, il cosiddetto Patch Tuesday, ma nel frattempo gli attacchi erano già in corso. Non è noto, allo stato attuale, quale organizzazione o quale utente specifico sia stato colpito.
Perché è importante e quale impatto può avere
Questo tipo di attacco è preoccupante per diversi motivi. Prima di tutto, una vulnerabilità zero-day non lascia alle vittime il tempo di difendersi con le normali procedure di aggiornamento. In secondo luogo, MSHTML è un componente diffuso e utilizzato da molte applicazioni Windows, non solo dai browser: questo amplia potenzialmente la superficie di attacco. Infine, la capacità di aggirare le protezioni standard del sistema operativo significa che un utente potrebbe aprire un file apparentemente innocuo e ritrovarsi con il computer compromesso senza ricevere alcun avviso.
Cosa possono fare ora aziende e utenti
La prima cosa da fare, se non è già stata fatta, è installare gli aggiornamenti di sicurezza rilasciati da Microsoft a febbraio 2026. Chi gestisce reti aziendali dovrebbe verificare che tutti i sistemi siano aggiornati e monitorare eventuali attività anomale. È inoltre buona pratica evitare di aprire file ricevuti da fonti sconosciute o non verificate, anche se sembrano documenti ordinari.
Takeaway finali
- Aggiornare sempre il sistema operativo e le applicazioni è la difesa più efficace contro le vulnerabilità note, anche quando arriva in ritardo rispetto agli attacchi.
- Le vulnerabilità zero-day dimostrano che nessun sistema è immune: la vigilanza quotidiana resta fondamentale.
- Quando i dettagli sulle vittime non sono pubblici, come in questo caso, significa che le indagini sono ancora in corso o che le informazioni vengono trattenute per ragioni di sicurezza.
Fonti:
https://thehackernews.com/2026/03/apt28-tied-to-cve-2026-21513-mshtml-0.html
https://www.cryptika.com/mshtml-framework-0-day-exploited-by-apt28-hackers-before-feb-2026s-patch-tuesday-update/
https://www.scworld.com/brief/apt28-attacks-involving-mshtml-zero-day-precede-fixes
Fonte: The Hacker News