CVE-2026-45498: vulnerabilità di negazione del servizio in Microsoft Defender, sotto osservazione per sfruttamento attivo

CVE-2026-45498: vulnerabilità di negazione del servizio in Microsoft Defender, sotto osservazione per sfruttamento attivo

In breve

CVE-2026-45498 è una vulnerabilità di negazione del servizio (DoS) in Microsoft Defender [1], classificata con gravità media e un punteggio CVSS di 4.0 [1]. È confermato lo sfruttamento attivo, poiché figura nel catalogo CISA KEV delle vulnerabilità sfruttate note [2]. Colpisce Microsoft come fornitore [1]. Se la tua organizzazione utilizza Windows con Microsoft Defender, ciò che conviene fare oggi è verificare che le patch di Defender siano applicate e che lo stato del servizio antimalware venga monitorato con regolarità.

Cos'è e perché è importante

Secondo la descrizione ufficiale, si tratta di una vulnerabilità di negazione del servizio in Microsoft Defender [1]. In termini di business, questo significa che un aggressore potrebbe far sì che Defender stesso smetta di funzionare correttamente [1], riducendo la protezione antimalware attiva sul dispositivo interessato. La vulnerabilità è registrata con gravità media e CVSS 4.0 secondo NVD [1], un punteggio relativamente basso nella scala tecnica. Tuttavia, il motivo per cui merita attenzione non è il suo punteggio, ma il fatto che risulti già sfruttata attivamente nel catalogo CISA KEV [2]: non si tratta cioè di un rischio teorico, ma di qualcosa che viene già utilizzato nel mondo reale. Il nostro radar di intelligence OCIRIA classifica questo caso con priorità elevata proprio per questa combinazione di sfruttamento confermato e coinvolgimento dello strumento di sicurezza principale di Windows.

Chi colpisce

Il produttore interessato è Microsoft [1], e la vulnerabilità si trova in Microsoft Defender. Defender è integrato di default in Windows, quindi qualsiasi organizzazione che utilizzi questo sistema operativo dovrebbe verificare se ne è interessata, sebbene non disponiamo di una cifra ufficiale sul numero esatto di dispositivi od organizzazioni coinvolte. La data di pubblicazione registrata è il 20 maggio 2026 [1].

Come sapere se sei vulnerabile

Non disponiamo di dati pubblici che dettaglino le versioni esatte di Defender interessate né indicatori tecnici di compromissione oltre a quanto pubblicato. Per questo, la raccomandazione generale e prudente è:

• Verificare lo stato di aggiornamento di Microsoft Defender sui dispositivi dell'organizzazione, specialmente su quelli che gestiscono dati sensibili o infrastrutture critiche.
• Controllare che il servizio di Defender sia attivo e funzioni normalmente, non solo installato.
• Rivedere la propria superficie esposta su internet per identificare sistemi Windows visibili pubblicamente che possano rappresentare un punto di ingresso più facile per tentare questo tipo di attacco.

Come proteggersi

1. Applica gli aggiornamenti di Microsoft Defender e di Windows disponibili attraverso i canali ufficiali di Microsoft il prima possibile.

2. Monitora la disponibilità del servizio antimalware sui tuoi dispositivi: se Defender si arresta o fallisce in modo inaspettato, trattalo come un segnale da indagare, non come un semplice errore isolato.

3. Dai priorità ai dispositivi più esposti, come quelli con accesso diretto a internet o che gestiscono operazioni critiche del business.

4. Documenta il patching per poter dimostrare, se un cliente, un revisore o un'assicurazione lo richiede, che l'organizzazione ha agito con diligenza di fronte a una vulnerabilità con sfruttamento attivo confermato [2].

5. Mantieni un ulteriore livello di sicurezza (firewall, EDR complementare, backup testati) per non dipendere da un unico strumento di protezione.

FAQ

È una vulnerabilità critica?

Secondo NVD, la sua gravità è media e il suo CVSS è 4.0 [1], un punteggio tecnico moderato. Ciò che la rende rilevante non è il punteggio, ma il fatto che sia già attivamente sfruttata secondo CISA KEV [2].

Cosa significa che provochi una negazione del servizio in Defender?

Che un aggressore può far sì che Microsoft Defender smetta di funzionare correttamente [1]. Non ci sono dati ufficiali su se questo avvenga in modo percepibile per l'utente o meno, quindi non va dato per scontato alcun comportamento aggiuntivo non confermato.

Devo agire anche se il mio CVSS sembra basso?

Sì. Essere presenti nel catalogo CISA KEV [2] indica uno sfruttamento attivo confermato, un criterio che molte organizzazioni utilizzano per dare priorità al patching al di là del punteggio numerico.

Come faccio a sapere se i miei sistemi sono esposti?

Verificare quali asset con Windows e Defender sono visibili da internet è un buon punto di partenza per valutare il rischio reale della tua organizzazione.

Fonti

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-45498
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json