Microsoft ha pubblicato un avviso urgente per Microsoft Defender: due vulnerabilità zero-day, già sfruttate in attacchi reali secondo la CISA, sono state corrette con nuovi aggiornamenti di sicurezza per Windows.
Il problema riguarda componenti fondamentali della protezione antimalware, presenti su milioni di PC aziendali e domestici. In casi come questo, la priorità non è solo installare la patch, ma verificare che sia davvero arrivata sul dispositivo.
Microsoft Defender e le due vulnerabilità zero-day da correggere
Le falle indicate da Microsoft sono CVE-2026-41091 e CVE-2026-45498. La prima interessa il Microsoft Malware Protection Engine nelle versioni 1.1.26030.3008 e precedenti e può consentire a un attaccante di ottenere un aumento locale dei privilegi dopo aver già compromesso il sistema.
Si tratta di una vulnerabilità con punteggio di gravità 7,8 su 10, quindi alta. La seconda, CVE-2026-45498, coinvolge la Microsoft Defender Antimalware Platform nelle versioni 4.18.26030.3011 e precedenti e può causare un denial of service, mettendo fuori uso il servizio di protezione. Anche qui il rischio è serio, con un punteggio di 7,5 su 10.
Le versioni corrette da verificare su Windows
Secondo Microsoft, gli aggiornamenti risolutivi portano il Malware Protection Engine alla versione 1.1.26040.8 e la piattaforma Antimalware alla 4.18.26040.7. Su molti sistemi con impostazioni predefinite l’update dovrebbe essere già stato installato in automatico.
Conviene però controllare manualmente, soprattutto in ambito aziendale, dove policy interne, proxy o sistemi di gestione centralizzata possono rallentare la distribuzione. Il controllo si effettua da Sicurezza di Windows, nella sezione Protezione da virus e minacce, poi Aggiornamenti della protezione e infine Verifica disponibilità aggiornamenti.
Perché la CISA ha alzato l’allarme
A rendere la situazione più urgente è l’inserimento delle due CVE nel catalogo Known Exploited Vulnerabilities della CISA, il database che raccoglie le vulnerabilità già sfruttate “in the wild”. Per le agenzie federali civili statunitensi la scadenza per intervenire è fissata al 3 giugno 2026, secondo la direttiva BOD 22-01.
Il messaggio vale anche per aziende e utenti privati: quando una falla colpisce un sistema di sicurezza installato di default, l’esposizione può crescere rapidamente. Verificare gli aggiornamenti di Microsoft Defender è quindi un passaggio semplice ma fondamentale per ridurre il rischio su Windows.
