Microsoft Defender va in crash durante le scansioni: ecco il motivo

Microsoft Defender che interrompe improvvisamente una scansione, disattiva per qualche istante il servizio di protezione e chiede di riavviarlo può far pensare subito a un malware capace di neutralizzare l’antivirus. Il 18 agosto 2026, però, moltissimi utenti Windows hanno iniziato a osservare lo stesso comportamento quasi contemporaneamente: scansioni rapide e complete che terminavano con un errore, Microsoft Defender Offline fermo intorno al 90-93% e il processo antimalware che andava in crash.

Il problema, stando a quanto emerge anche dagli aggiornamenti rapidamente distribuiti, era legato a una serie di Security Intelligence Update di Microsoft Defender.

La coincidenza temporale ha creato parecchia confusione perché pochi giorni prima, con il Patch Tuesday di agosto, Microsoft aveva pubblicato gli aggiornamenti mensili di Windows e, quasi nello stesso momento, era diventato pubblico ShieldBreak, un nuovo exploit che prende di mira proprio Defender.

Microsoft Defender si chiude durante la scansione: i sintomi

Dopo l’avvio di una scansione rapida o completa, Defender lavora normalmente per alcuni secondi o minuti, poi la scansione si interrompe. L’interfaccia può mostrare un messaggio secondo cui il servizio di protezione dalle minacce si è arrestato, invitando l’utente a riavviarlo.

In altri casi Defender sembra disattivarsi, per poi tornare operativo automaticamente poco dopo. La scansione offline (anch’essa raggiungibile da Sicurezza di Windows, Protezione da virus e minacce, Opzioni di analisi, Antivirus Microsoft Defender scansione offline) presenta invece un comportamento differente: diversi utenti l’hanno vista bloccarsi stabilmente al 90% o poco più, senza mai arrivare alla conclusione.

Il dettaglio più interessante arriva dal Visualizzatore eventi (Windows+R, eventvwr.msc). Su varie macchine si manifesta il crash di MsMpEng.exe, il processo principale del motore antivirus Microsoft, all’interno di mpengine.dll, accompagnato dal codice 0xC0000005.

0xC0000005 indica una access violation: un processo ha tentato di leggere, scrivere o eseguire codice utilizzando un indirizzo di memoria non valido o non consentito. Non significa automaticamente che la RAM sia difettosa e, soprattutto, non dimostra la presenza di malware. Quando lo stesso errore compare contemporaneamente su molte macchine dopo un aggiornamento dello stesso componente, il sospetto si sposta inevitabilmente sul software.

Il problema arriva dalle Security Intelligence di Defender

Microsoft Defender non è un componente monolitico aggiornato soltanto attraverso il Patch Tuesday. La protezione dipende da diversi elementi che Microsoft distribuisce con cadenze differenti: piattaforma antimalware, motore di scansione, intelligence di sicurezza e componenti cloud.

I Security Intelligence Update contengono principalmente informazioni utilizzate per riconoscere malware, comportamenti sospetti e nuove minacce. Microsoft può distribuirli diverse volte al giorno, molto più rapidamente rispetto agli aggiornamenti cumulativi di Windows. Per Microsoft Defender Antivirus arrivano normalmente attraverso KB2267602; Microsoft Endpoint Protection utilizza invece KB2461484.

Le segnalazioni del 18 agosto si concentrano sulle versioni 1.457.222.0, 1.457.225.0, 1.457.226.0, 1.457.227.0 e 1.457.230.0. Diversi utenti hanno riprodotto il crash con più revisioni consecutive: controllare Windows Update una sola volta non sempre risolvesse il problema.

Una macchina poteva infatti ricevere, per esempio, la 1.457.225.0 e poco dopo la 1.457.227.0, continuando però a mostrare esattamente lo stesso difetto. Il Microsoft Update Catalog conferma che l’azienda di Redmond ha pubblicato in rapida successione numerose revisioni della famiglia 1.457 durante la giornata del 18 agosto.

Per controllare rapidamente il numero delle versioni dei vari componenti di Microsoft Defender, si può usare la seguente istruzione PowerShell:

Get-MpComputerStatus | Select-Object AMProductVersion, AMEngineVersion, AntivirusSignatureVersion, AntivirusSignatureLastUpdated

La situazione è cambiata con il rilascio della versione 1.457.236.0 e successive: dopo la sua installazione, scansione rapida e scansione completa sono tornate a concludersi normalmente.

La protezione in tempo reale continuava a funzionare?

Molte testimonianze indicano che il crash interessava soprattutto l’esecuzione delle scansioni manuali. Diversi utenti riferivano infatti che la protezione in tempo reale risultava ancora attiva e che Defender continuava a reagire ai file esaminati singolarmente.

Alcuni sistemi, tuttavia, mostravano notifiche secondo cui la protezione antivirus risultava disabilitata e altri utenti hanno segnalato problemi durante le operazioni di quarantena. Un motore che termina in modo anomalo durante determinate attività non può essere considerato completamente affidabile fino all’installazione della correzione.

Dopo l’aggiornamento conviene quindi verificare che Microsoft Defender sia attivo (tutte le voci devono rispondere True):

Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusEnabled, RealTimeProtectionEnabled

ShieldBreak c’entra con il problema?

Pochi giorni prima del malfunzionamento legato a Microsoft Defender, il ricercatore che utilizza lo pseudonimo Nightmare Eclipse aveva pubblicato ShieldBreak, un proof of concept capace di ottenere privilegi SYSTEM sfruttando l’antimalware preinstallato in Windows. ShieldBreak nasce come bypass della correzione preparata per RoguePlanet, vulnerabilità associata a CVE-2026-50656.

Da qui l’ipotesi che Microsoft potrebbe aver modificato rapidamente Defender per contrastare ShieldBreak e una delle modifiche avrebbe introdotto il crash. È una spiegazione possibile e plausibile, ma al momento non esistono elementi sufficienti per considerarla dimostrata.

Sappiamo che ShieldBreak riguarda Defender, ben conosciamo il “bracco di ferro” instaurato da Nightmare Eclipse nei confronti della società guidata da Satya Nadella, sappiamo che Microsoft aggiorna rapidamente intelligence e motore per rilevare nuove tecniche di attacco e sappiamo che il problema delle scansioni è apparso pochi giorni dopo. Non abbiamo però alcuna comunicazione Microsoft che colleghi direttamente i due eventi.