Zero Day: Microsoft Office colpito da attacco critico, aggiorna subito!

ANALISI TECNICA

Microsoft ha rilasciato aggiornamenti di sicurezza fuori programma per correggere una vulnerabilità zero-day di Microsoft Office classificata come alta gravità, sfruttata in attacchi. La vulnerabilità di bypass delle funzionalità di sicurezza, tracciata come [CVE-2026-21509](http://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21509), colpisce diverse versioni di Office, tra cui Microsoft Office 2016, Microsoft Office 2019, Microsoft Office LTSC 2021, Microsoft Office LTSC 2024 e Microsoft 365 Apps for Enterprise (il servizio di abbonamento cloud dell'azienda).

Tuttavia, come indicato nell'avviso odierno, gli aggiornamenti di sicurezza per Microsoft Office 2016 e 2019 non sono ancora disponibili e saranno rilasciati il prima possibile. Sebbene il pannello di anteprima non sia un vettore di attacco, gli attaccanti locali non autenticati possono comunque sfruttare la vulnerabilità tramite attacchi di bassa complessità che richiedono l'interazione dell'utente.

"La dipendenza da input non attendibili in una decisione di sicurezza in Microsoft Office consente a un aggressore non autorizzato di aggirare localmente una funzionalità di sicurezza. Un attaccante deve inviare a un utente un file Office dannoso e convincerlo ad aprirlo", ha spiegato Microsoft.

"Questo aggiornamento risolve una vulnerabilità che aggira le mitigazioni OLE in Microsoft 365 e Microsoft Office che proteggono gli utenti da controlli COM/OLE vulnerabili."

"I clienti su Office 2021 e versioni successive saranno automaticamente protetti tramite una modifica lato servizio, ma dovranno riavviare le applicazioni Office per far effetto", ha aggiunto.

Sebbene Office 2016 e 2019 non siano immediatamente patchati contro gli attacchi, Microsoft ha fornito misure di mitigazione confuse che potrebbero "ridurre la gravità dello sfruttamento". Abbiamo cercato di chiarire questo con le nostre istruzioni di seguito:

• Chiudere tutte le applicazioni Microsoft Office.
• Creare un backup del Registro di Windows, poiché l'editing errato può causare problemi con il sistema operativo.
• Quando aperto, utilizzare la barra degli indirizzi in alto per vedere se uno dei seguenti chiavi di registro esiste:
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\ (per Office 64 bit, o Office 32 bit su Windows 32 bit)
• HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility\ (per Office 32 bit su Windows 64 bit)
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility\
• Se una delle chiavi di registro sopra non esiste, creare una nuova chiave "COM Compatibility" sotto questo percorso del Registro di Windows facendo clic con il tasto destro su Common e selezionando Nuovo -> Chiave.
• Ora fare clic con il tasto destro sulla chiave COM Compatibility esistente o appena creata e selezionare Nuovo -> Chiave e denominarla {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}.
• Quando la nuova {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B} è stata creata, fare clic con il tasto destro su di essa, selezionare Nuovo -> Valore DWORD (32 bit). Denominare il nuovo valore Compatibility Flags.
• Quando il valore Compatibility Flags è stato creato, fare doppio clic su di esso, assicurarsi che l'opzione Base sia impostata su Esadecimale e immettere 400 nel campo Value data.

Dopo aver eseguito questi passaggi, la vulnerabilità verrà mitigata quando avvii l'applicazione Office.

Microsoft non ha condiviso chi ha scoperto la vulnerabilità o dettagli su come viene sfruttata, e un portavoce non era immediatamente disponibile per i commenti di BleepingComputer earlier today.

Contesto: DI MERCATO/SICUREZZA

Microsoft ha rilasciato aggiornamenti di sicurezza out-of-band per correggere una vulnerabilità zero-day di alta gravità in Microsoft Office che viene sfruttata negli attacchi. La vulnerabilità di bypass della funzionalità di sicurezza, tracciata come CVE-2026-21509, interessa diverse versioni di Office, tra cui Microsoft Office 2016, Microsoft Office 2019, Microsoft Office LTSC 2021, Microsoft Office LTSC 2024 e Microsoft 365 Apps for Enterprise (il servizio di abbonamento cloud dell'azienda).

Tuttavia, come indicato nell'avviso odierno, gli aggiornamenti di sicurezza per Microsoft Office 2016 e 2019 non sono ancora disponibili e saranno rilasciati il prima possibile. Sebbene l'anteprima non sia un vettore di attacco, gli aggressori locali non autenticati possono comunque sfruttare la vulnerabilità tramite attacchi di bassa complessità che richiedono l'interazione dell'utente.

• "La dipendenza da input non attendibili in una decisione di sicurezza in Microsoft Office consente a un aggressore non autorizzato di aggirare localmente una funzionalità di sicurezza. Un aggressore deve inviare a un utente un file Office dannoso e convincerlo ad aprirlo", ha spiegato Microsoft.
• "Questo aggiornamento risolve una vulnerabilità che aggira le mitigazioni OLE in Microsoft 365 e Microsoft Office che proteggono gli utenti da controlli COM/OLE vulnerabili."

Sebbene Office 2016 e 2019 non siano immediatamente patchati contro gli attacchi, Microsoft ha fornito misure di mitigazione confuse che potrebbero "ridurre la gravità dello sfruttamento".

Dati e Trend correlati

L'incidente evidenzia la persistente minaccia rappresentata dalle vulnerabilità zero-day. Gli aggressori cercano attivamente di sfruttare queste falle prima che i produttori rilascino patch per proteggere gli utenti.

Il settore della sicurezza informatica sta assistendo a un aumento delle campagne di attacco mirate, con gli aggressori che si concentrano su organizzazioni specifiche e dati sensibili. La crescente interconnessione e l'adozione di tecnologie cloud hanno ampliato la superficie di attacco per i cybercriminali.

Impatto sul settore

L'incidente Microsoft Office sottolinea la necessità di un approccio proattivo alla sicurezza informatica. Le organizzazioni devono implementare misure di sicurezza robuste, tra cui:

• Aggiornamenti regolari del software
• Formazione degli utenti sulla sicurezza informatica
• Monitoraggio e rilevamento delle minacce
• Pianificazione di piani di ripristino in caso di incidente

Inoltre, è fondamentale collaborare con il settore della sicurezza informatica per condividere informazioni su minacce emergenti e sviluppare soluzioni innovative.

Strategia: E DIFESA: Consigli pratici per l'utente/investitore

Microsoft ha rilasciato aggiornamenti di sicurezza out-of-band per risolvere una vulnerabilità di livello elevato zero-day in Microsoft Office, sfruttata in attacchi. La vulnerabilità di bypass della funzione di sicurezza, tracciata come CVE-2026-21509, colpisce diverse versioni di Office, tra cui Microsoft Office 2016, Microsoft Office 2019, Microsoft Office LTSC 2021, Microsoft Office LTSC 2024 e Microsoft 365 Apps for Enterprise.

Tuttavia, come indicato nell'avviso di oggi, gli aggiornamenti di sicurezza per Microsoft Office 2016 e 2019 non sono ancora disponibili e saranno rilasciati il prima possibile. Sebbene l'anteprima non sia un vettore di attacco, gli aggressori locali non autenticati possono comunque sfruttare la vulnerabilità tramite attacchi di bassa complessità che richiedono l'interazione dell'utente.

"La dipendenza da input non attendibili in una decisione di sicurezza in Microsoft Office consente a un aggressore non autorizzato di bypassare localmente una funzione di sicurezza. Un aggressore deve inviare a un utente un file Office dannoso e convincerlo ad aprirlo", ha spiegato Microsoft.

"Questo aggiornamento risolve una vulnerabilità che aggira le mitigazioni OLE in Microsoft 365 e Microsoft Office che proteggono gli utenti da controlli COM/OLE vulnerabili."

"I clienti su Office 2021 e versioni successive saranno automaticamente protetti tramite una modifica lato servizio, ma dovranno riavviare le applicazioni Office per farla effettiva", ha aggiunto.

• Chiudi tutte le applicazioni Microsoft Office.
• Crea un backup del Registro di Windows (https://support.microsoft.com/en-us/help/322756/how-to-back-up-and-restore-the-registry-in-windows), poiché la modifica errata può causare problemi con il sistema operativo.
• Quando aperto, utilizza la barra degli indirizzi in alto per vedere se uno dei seguenti chiavi di registro esiste:
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\ (per Office 64 bit, o Office 32 bit su Windows 32 bit)
• HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility\ (per Office 32 bit su Windows 64 bit)
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility\
• Se una delle chiavi di registro sopra non esiste, crea una nuova chiave "COM Compatibility" sotto questo percorso di registro facendo clic con il tasto destro su Common e selezionando Nuovo -> Chiave.
• Ora fai clic con il tasto destro sulla chiave COM Compatibility esistente o appena creata e seleziona Nuovo -> Chiave e denomina la nuova chiave {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}.
• Quando la nuova {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B} è stata creata, fai clic con il tasto destro su di essa, seleziona Nuovo -> Valore DWORD (32 bit). Denomina il nuovo valore Compatibility Flags.
• Quando il valore Compatibility Flags è stato creato, fai doppio clic su di esso, assicurati che l'opzione Base sia impostata su Esadecimale e inserisci 400 nel campo Dati del valore.

Dopo aver eseguito questi passaggi, la vulnerabilità sarà mitigata quando avvierai per la prossima volta un'applicazione Office. Microsoft non ha condiviso chi ha scoperto la vulnerabilità o dettagli su come viene sfruttata, e un portavoce non era immediatamente disponibile per un commento quando BleepingComputer ha contattato la società oggi.

La scoperta e la rapida risposta di Microsoft a questa vulnerabilità zero-day dimostrano l'importanza costante della sicurezza informatica, soprattutto nel contesto del software Office, ampiamente utilizzato. L'attacco sfrutta un bypass delle funzionalità di sicurezza legate all' OLE (Object Linking and Embedding) e richiede l'interazione dell'utente per essere efficace. Mentre le versioni più recenti di Office sono protette tramite aggiornamenti automatici, le versioni 2016 e 2019 necessitano di un intervento manuale per mitigare il rischio.

• La mancanza di informazioni su chi ha scoperto la vulnerabilità e il metodo di sfruttamento lascia spazio a ulteriori domande.
• L'incidente sottolinea l'importanza di mantenere sempre aggiornati i software, inclusi quelli Office, per mitigare le minacce informatiche in continua evoluzione.