Microsoft chiude una vulnerabilità di 23 anni: addio alle icone personalizzate delle cartelle

Windows chiude una vulnerabilità di 23 anni: icona delle cartelle personalizzate non più supportata

Ogni Patch Tuesday, Microsoft ci offre un motivo per discutere dell'ultimo aggiornamento di Windows che ha causato problemi. Questa volta, tuttavia, la situazione è diversa: un nuovo aggiornamento di sicurezza ha effettivamente risolto un problema, anche se ha interrotto una funzionalità vecchia. Quando gli utenti di Windows si sono accorti che le loro icone delle cartelle personalizzate avevano smesso di funzionare, sembrava un altro aggiornamento di Windows andato storto. In realtà, però, queste icone mancanti sono il risultato di una correzione di sicurezza deliberata che è stata presente in Windows per molto tempo. Microsoft ha finalmente deciso che questo piccolo problema non poteva più essere fidato.

Windows smette di fidarsi dei file desktop.ini

Per anni, Windows ha utilizzato un piccolo file nascosto chiamato desktop.ini per controllare l'aspetto delle cartelle all'interno di File Explorer. Questo file ha reso possibile le icone delle cartelle personalizzate, i nomi delle cartelle localizzati e innumerevoli pacchetti di icone. Finché una cartella conteneva il desktop.ini giusto e la risorsa dell'icona, Explorer la visualizzava senza pensarci due volte. Purtroppo, ha anche fidato quella metadata allo stesso modo, inclusi i file provenienti da archivi scaricati, condivisioni WebDAV e altre fonti con il Marchio del Web.

Ogni file scaricato da Internet, Windows gli allega un identificatore di metadata nascosto, considerandolo potenzialmente non sicuro. Questa funzione di sicurezza è chiamata Marchio del Web (MoTW).

Microsoft ha evidenziato come gli attori della minaccia, inclusi il gruppo OceanLotus legato al Vietnam, avessero abusato di desktop.ini per mascherare cartelle dannose e farle apparire molto più affidabili di quanto non fossero in realtà. Gli attaccanti che sfruttavano questo bug di sicurezza hanno storicamente abusato della disponibilità di Explorer ad accettare passivamente metadata cosmetiche, indipendentemente da quanto non verificata fosse la loro fonte.

È questo che l'aggiornamento di sicurezza di giugno 2026 ha cambiato. Windows ora rifiuta di onorare i file desktop.ini non fidati. Microsoft è stata chiara sul fatto che l'interruzione delle icone delle cartelle personalizzate come conseguenza di questo cambiamento non era una regressione non intenzionale, ma piuttosto una correzione deliberata per una debolezza di sicurezza le cui radici risalgono a una vulnerabilità identificata per la prima volta nel 2003.

Una vulnerabilità dell'era Windows XP finalmente giunge al termine

Questo problema di sicurezza era così vecchio da poter comprare birra. La storia inizia nel 2003, quando Microsoft ha divulgato e corretto una vulnerabilità tracciata come MS03-027. Sebbene il difetto originale fosse stato risolto, ha esposto un problema più ampio che è persistito per decenni: la disponibilità di Windows Explorer a fidarsi di metadata relative alla presentazione più di quanto probabilmente dovrebbe. Nascosto dentro quel modello di fiducia c'era un buffer non controllato nella stessa funzione Shell responsabile del parsing di desktop.ini, e non ci voleva molto per innescarlo. Semplicemente navigare in una cartella era sufficiente per attivarlo, senza prompt di download, clic o file coinvolti. Navigare semplicemente nella cartella sbagliata era, letteralmente, l'intero attacco.

Questo design sottostante è sopravvissuto a Windows XP, Vista, 7, 8, 10 e infine 11, diventando uno di quei comportamenti legacy che si sono integrati nel sistema operativo ma non sono mai completamente scomparsi. Certo, non era un buco attivamente sfruttato ogni singolo giorno, ma è rimasto una superficie di attacco, molto tempo dopo che la maggior parte delle persone aveva dimenticato che esisteva.

Una delle ragioni per cui è durato così a lungo, tuttavia, è che sfruttarlo richiedeva uno sforzo sorprendentemente piccolo. Un singolo file desktop.ini dannoso poteva alterare l'aspetto delle cartelle all'interno di File Explorer. Questo ha aiutato gli attaccanti a mascherare file o posizioni come qualcosa di più legittimo. Man mano che Windows acquisiva funzionalità come il Marchio del Web per distinguere i contenuti fidati da quelli scaricati, quel modello di fiducia vecchio di decenni sembrava sempre più fuori posto in un sistema operativo orientato alla sicurezza.

Questo è ciò che rende facile capire l'ultima decisione di Microsoft. Certo, ciò avviene a scapito di una funzionalità di personalizzazione di nicchia ma amata che gli utenti avanzati di Windows utilizzano da decenni, ma era anche necessaria. Invece di continuare a portare avanti un compromesso di design dell'era Windows XP, l'azienda ha finalmente scelto di chiudere uno dei presupposti di fiducia più antichi di Explorer. Ventitré anni sono un tempo molto lungo perché un bug rimanga silenziosamente in un sistema operativo utilizzato da oltre un miliardo di dispositivi, in attesa del giorno in cui qualcuno abbia deciso che un'icona di una cartella non valeva il rischio. Perdere le icone delle cartelle personalizzate, per chi le utilizzava, è sicuramente frustrante, ma chiudere una superficie di attacco vecchia di 23 anni è uno di quei rari casi in cui "meglio tardi che mai" e "danni collaterali" si applicano entrambi sinceramente.

Le icone delle cartelle personalizzate in Windows non sono completamente morte

La funzionalità esiste ancora, ma le regole sono cambiate. La buona notizia è che Microsoft non ha completamente rimosso le icone delle cartelle personalizzate da Windows 11. Se il file desktop.ini e le risorse delle icone provengono da una posizione fidata, tutto funziona come sempre. La modifica più grande, tuttavia, è che Explorer ora ignora le metadata di personalizzazione dai file che hanno il Marchio del Web o che risiedono in posizioni che Windows non fidata completamente, come certe condivisioni WebDAV o posizioni basate su HTTP. Il modo più semplice per impostare ancora icone delle cartelle personalizzate in Windows 11 è semplicemente scegliere il proprio file e farlo da soli.

Scegli il file immagine che desideri e convertilo in formato .ico (assicurati che la risoluzione sia almeno 512x512 px). Vai nella cartella per cui desideri creare un'icona personalizzata e crea un nuovo file di testo lì. Non preoccuparti di nominarlo per ora. Apri il file di testo in Blocco note e incolla il seguente codice, sostituendo il percorso effettivo del tuo file .ico:

[.ShellClassInfo]
IconResource=C:\Path\To\Your\Icon.ico,0

Salva il file e rinominalo come "desktop.ini" senza le virgolette. Assicurati di rimuovere l'estensione ".txt". Windows ti avviserà riguardo la rinominazione dell'estensione, ma fallo comunque. Ora, vai in PowerShell e digita quanto segue:

attrib +s +h "C:\Path\To\Your\Chosen\Folder\desktop.ini"

Assicurati di utilizzare le virgolette qui. Premi Invio. Questo renderà il file desktop.ini nascosto all'interno della cartella. Successivamente, digita:

Assicurati di utilizzare le virgolette qui. Premi Invio di nuovo per far sapere a Windows che questa cartella stessa è speciale. Esci da PowerShell e aggiorna. La tua cartella avrà ora l'icona personalizzata che desideravi, con solo cinque minuti di lavoro.

Ci sono anche altri modi per ottenere lo stesso risultato. Ad esempio, puoi utilizzare il comando attrib +s +h per nascondere il file desktop.ini, o puoi utilizzare il comando attrib +r per impostare l'attributo di sola lettura sulla cartella. In alternativa, puoi utilizzare un editor di registro per modificare il valore Hidden per il file desktop.ini.

Windows 10

Mentre la perdita delle icone delle cartelle personalizzate può essere frustrante per alcuni utenti, è importante ricordare che questa modifica è stata apportata per migliorare la sicurezza di Windows. Chiudendo una superficie di attacco vecchia di 23 anni, Microsoft sta facendo un passo importante per proteggere i suoi utenti da potenziali minacce. E con i metodi sopra descritti, gli utenti avanzati possono ancora personalizzare le loro icone delle cartelle, se lo desiderano.