Microsoft corregge una falla zero-day di Defender che riempie il disco

Microsoft ha corretto una vulnerabilità ad alto impatto che interessava Microsoft Defender, in grado di compromettere la stabilità dei sistemi Windows saturando progressivamente lo spazio su disco.

Il problema, identificato come zero-day perché scoperto prima del rilascio di una patch pubblica, non consentiva l’esecuzione di codice né l’accesso non autorizzato ai dati, ma poteva causare gravi disservizi. La falla è stata segnalata dai ricercatori di SafeBreach Labs e risolta tramite un aggiornamento automatico del motore antivirus, distribuito senza necessità di interventi manuali da parte degli utenti. La vulnerabilità è tracciata con il codice CVE-2026-41747.

Meccanismo della vulnerabilità

L’analisi tecnica ha evidenziato un comportamento anomalo nella gestione dei file temporanei creati durante le scansioni in tempo reale. In condizioni specifiche, Microsoft Defender generava dati che non venivano eliminati correttamente, accumulandosi nel sistema.

Un attaccante poteva sfruttare questa dinamica inviando richieste costruite ad hoc, inducendo il software a produrre una quantità crescente di file inutili. Ripetendo l’operazione in modo automatico, lo spazio disponibile sul disco veniva progressivamente ridotto fino all’esaurimento, con effetti immediati sulla stabilità del sistema operativo e delle applicazioni.

Pur non trattandosi di una vulnerabilità critica in termini di accesso o controllo del sistema, il rischio operativo rimane significativo. L’attacco rientra nella categoria denial of service, poiché punta a rendere inutilizzabile una risorsa essenziale come lo storage.

In ambienti aziendali o server condivisi, una saturazione del disco può bloccare servizi fondamentali, impedire l’esecuzione di backup e causare errori nei database. Anche nei contesti domestici, gli effetti possono tradursi in rallentamenti, impossibilità di aggiornare il sistema e malfunzionamenti diffusi delle applicazioni.

Patch e aggiornamenti automatici

Microsoft ha distribuito la correzione aggiornando direttamente il motore e la piattaforma di Defender attraverso il sistema di update automatico. Questo approccio consente una mitigazione rapida, senza attendere i cicli tradizionali di aggiornamento del sistema operativo.

Per ridurre i rischi, è consigliabile verificare che Defender sia aggiornato all’ultima versione disponibile. Nei contesti aziendali, gli amministratori IT dovrebbero controllare che tutti gli endpoint abbiano ricevuto correttamente gli aggiornamenti, evitando eventuali sistemi non protetti.