Microsoft ha distribuito una correzione per la vulnerabilità RoguePlanet (identificata con il codice CVE-2026-50656) presente nel Malware Protection Engine di Defender lo scorso 8 luglio. Scoperta dal ricercatore di sicurezza Nightmare Eclipse, questa falla avrebbe potuto permettere agli attaccanti di accedere al sistema, acquisire privilegi amministrativi e eseguire qualsiasi tipo di operazione malevola. Tuttavia, il rimedio adottato da Redmond nasconde un problema altrettanto serio: una gestione difettosa dello spazio su disco che può paralizzare completamente i computer interessati.
Secondo quanto riportato da Nightmare Eclipse in un'analisi tecnica pubblicata in seguito al rilascio della patch, il meccanismo di protezione implementato contiene un'eccezione problematica. Quando Defender esegue la scansione di un file, normalmente copia soltanto 8 byte di dati sul disco e rispetta severi limiti sulla dimensione dei file da mettere in quarantena. Questa limitazione non si applica tuttavia ai metadati Zone.Identifier, che il software conserva localmente come parte della funzionalità SpyNet, il sistema che invia segnalazioni su applicazioni sospette ai server Microsoft. Questi metadati contengono informazioni cruciali sull'origine dei file, come se sono stati scaricati da internet o ricevuti tramite posta elettronica.
Lo scenario di attacco è tanto semplice quanto devastante: un utente malintenzionato potrebbe utilizzare un server SMB compromesso per inviare innanzitutto un file infetto seguito da uno Zone.Identifier di dimensioni enormi. Il server SMB mantiene la connessione aperta senza rispondere alle richieste di lettura, intrappolando Defender in uno stato di stallo durante la scansione. Nel frattempo, il disco rigido viene completamente riempito e il sistema operativo diventa completamente inoperabile.
La versione aggiornata del Malware Protection Engine, la 1.1.26060.3008, viene scaricata e installata automaticamente sui sistemi Windows, il che significa che il rischio interessa potenzialmente milioni di utenti in tutto il mondo. Va sottolineato che Microsoft non ha pubblicamente riconosciuto il contributo di Nightmare Eclipse nel segnalare il problema, probabilmente perché il ricercatore aveva reso pubblico il codice dell'exploit su GitHub senza attendere il rilascio della patch, una pratica che la società considera irresponsabile.
L'accaduto sottolinea ancora una volta un paradosso ricorrente nella sicurezza informatica: mentre si risolve una vulnerabilità critica, le contromisure implementate rischiano di causare danni almeno altrettanto gravi. Gli utenti si trovano così intrappolati tra il martello e l'incudine, costretti a scegliere tra una falla di sicurezza nota e gli effetti collaterali della sua correzione. Microsoft dovrà presumibilmente rilasciare una nuova patch per rimediare a questo difetto di progettazione, evidenziando ancora una volta l'importanza di test accurati prima del dispiegamento su larga scala.
