Windows 11 torna a mostrare l'anteprima dei file scaricati: perché Microsoft cambia ancora

Windows 11 torna a mostrare l’anteprima dei file scaricati da Internet. Microsoft modifica così una misura di sicurezza introdotta meno di un anno fa e che aveva creato parecchi disagi soprattutto a chi lavora abitualmente con PDF, documenti e file ricevuti via web.

La novità compare nell’aggiornamento facoltativo KB5124010 pubblicato il 22 settembre 2026 per Windows 11 24H2 e 25H2, rispettivamente con le build 26100.9550 e 26200.9550. Microsoft precisa che la distribuzione delle nuove funzionalità avviene progressivamente, quindi il comportamento descritto potrebbe non comparire immediatamente su tutti i sistemi che installano il pacchetto.

La modifica riguarda un meccanismo di sicurezza molto importante: il cosiddetto Mark of the Web, abbreviato in MotW, con cui Windows conserva informazioni sull’origine dei file scaricati da Internet.

Mark of the Web: cosa cambia con KB5124010

Fino a oggi, sui sistemi aggiornati con le patch introdotte a partire da ottobre 2025, selezionare nel riquadro Anteprima di Esplora file un documento proveniente da Internet poteva produrre soltanto un avviso di sicurezza. Microsoft aveva infatti deciso di impedire automaticamente la visualizzazione del contenuto dei file contrassegnati come provenienti da Internet.

Con KB5124010 la logica diventa più selettiva: Microsoft distingue innanzi tutto tra file HTML e altri formati.

Per i documenti non HTML, compresi esplicitamente i PDF, Esplora file torna a generare automaticamente l’anteprima anche quando il file proviene dal web.

Nel caso dei file HTML, Windows mantiene invece una barriera: nel riquadro compare il nuovo pulsante Mostra comunque l’anteprima, ovvero una richiesta esplicita all’utente prima che il contenuto sia elaborato per produrre l’anteprima.

Perché Microsoft aveva bloccato le anteprime dei file provenienti da altri sistemi

Per capire il cambio di rotta bisogna tornare all’aggiornamento di sicurezza del 14 ottobre 2025.

Con il bollettino KB5070960 Microsoft ha modificato Esplora file in modo che il riquadro Anteprima non elaborasse automaticamente i file riconosciuti come provenienti da Internet. Microsoft spiegava che il rendering dell’anteprima avrebbe potuto provocare una perdita degli hash NTLM.

Il meccanismo è sottile: un file appositamente costruito può contenere elementi HTML, riferimenti a immagini, fogli di stile o altre risorse che puntano verso un percorso esterno controllato dall’attaccante. Microsoft cita espressamente tag come <link> e attributi src. Quando Esplora file deve produrre l’anteprima, il componente che interpreta il documento può tentare di recuperare automaticamente quella risorsa esterna. È proprio questo accesso involontario a costituire il passaggio critico.

Immaginiamo, in forma semplificata, un riferimento del tipo \\server-attaccante.example\share\immagine.png oppure un altro collegamento capace di provocare l’accesso a una risorsa di rete. Se Windows tratta la destinazione come una risorsa alla quale può autenticarsi tramite NTLM, il sistema può avviare automaticamente il protocollo di autenticazione usando le credenziali dell’utente che ha effettuato l’accesso al PC.

Come funzionano gli attacchi a NTLM

NTLM funziona secondo uno schema challenge-response: il server invia al client un valore casuale, la cosiddetta challenge; Windows calcola una risposta crittografica usando materiale derivato dalla password dell’utente e restituisce al server informazioni come il nome dell’account, il dominio o il nome del computer insieme alla risposta NTLM.

L’attaccante non riceve quindi direttamente la password. Ottiene però una coppia challenge-response, generalmente indicata nel linguaggio comune come “hash NTLM catturato“. Un aggressore può salvare l’hash e successivamente tentare un attacco offline basato su dizionario o brute force: prova molte password candidate, calcola per ciascuna la risposta NTLM attesa e verifica se coincide con quella intercettata. Se la password è debole, può così ricavarla senza effettuare ulteriori tentativi contro il computer della vittima.

Esiste inoltre un problema ancora più delicato: in determinate condizioni l’autenticazione intercettata può essere sfruttata in attacchi di NTLM relay. In questo caso non è nemmeno necessario conoscere la password: l’attaccante cerca invece di inoltrare in tempo reale lo scambio di autenticazione verso un altro servizio Windows che accetta NTLM, tentando di autenticarsi presso quel servizio con l’identità della vittima. La riuscita dipende dalla configurazione dei sistemi coinvolti e dalle protezioni abilitate, come SMB signing, Extended Protection for Authentication e altre misure anti-relay.

Il punto critico della vulnerabilità delle anteprime era quindi l’assenza di un gesto realmente consapevole da parte dell’utente. Non era necessario aprire deliberatamente il documento, fare clic su un collegamento o digitare credenziali: poteva bastare selezionare il file in Esplora file con il riquadro Anteprima attivo perché il parser elaborasse il contenuto e tentasse autonomamente di raggiungere la risorsa esterna.

Il vero protagonista è il Mark of the Web

Il meccanismo alla base di tutto è molto più vecchio di Windows 11. Quando un browser o un’altra applicazione salva su un volume NTFS un file proveniente da Internet, Windows può associare al file un Alternate Data Stream (ADS), ossia un flusso di dati aggiuntivo che non fa parte del contenuto principale.

Il flusso utilizzato per indicare l’origine del file prende il nome di Zone.Identifier: la documentazione Microsoft sul formato NTFS mostra, ad esempio, una struttura di questo tipo, dove il valore 3 indica appunto “zona Internet”:

[ZoneTransfer]
ZoneId=3

Da Esplora file non si vede alcun file aggiuntivo: il flusso è associato direttamente al documento.

Prendiamo per esempio il file C:\Download\manuale.pdf: su NTFS potrebbe esistere anche C:\Download\manuale.pdf:Zone.Identifier. Si tratta di uno stream separato dal contenuto PDF. NTFS consente infatti di associare a uno stesso file più flussi di dati, mentre quello normalmente utilizzato dalle applicazioni rimane il flusso principale senza nome.

È proprio il contenuto di Zone.Identifier che permette a Windows e alle applicazioni compatibili di capire che manuale.pdf non è nato sul computer locale ma proviene da una sorgente considerata meno attendibile.

Togliere il blocco significava rimuovere un’informazione di sicurezza

Esiste naturalmente una soluzione: cliccando con il tasto destro sul file è possibile scegliere Proprietà, attivare Sblocca e confermare. Microsoft indica proprio questa procedura per consentire nuovamente la visualizzazione del documento. Da PowerShell lo stesso risultato si può ottenere con:

Unblock-File -Path "C:\Download\manuale.pdf"

Il problema è che non si sta semplicemente dicendo a Esplora file “mostrami l’anteprima“. Le operazioni descritte rimuovono l’informazione di zona associata al documento: MotW non serve soltanto a Esplora file; altre applicazioni possono usarlo per decidere quali protezioni applicare.

Microsoft Office, per esempio, utilizza proprio l’informazione di zona per determinare se un documento proviene da Internet e applicare restrizioni aggiuntive, tra cui il blocco predefinito delle macro VBA. Eliminare Zone.Identifier soltanto per recuperare l’anteprima poteva quindi avere conseguenze più ampie.

La nuova soluzione introdotta con KB5124010 è molto più granulare

KB5124010 cambia gli equilibri descritti ai paragrafi precedenti. Microsoft non afferma che il MotW sarà eliminato dai documenti: la modifica descritta riguarda specificamente il comportamento del riquadro Anteprima di Esplora file.

Il singolo documento PDF può continuare a essere identificato come proveniente da Internet ma Esplora file può comunque visualizzarlo.

È probabilmente l’aspetto tecnicamente più interessante della novità: anteprima e provenienza del file non sono più trattate come se fossero la stessa decisione di sicurezza.

Il MotW può continuare a essere disponibile per SmartScreen, Office e per le altre applicazioni che lo consultano; contemporaneamente Esplora file può consentire la comparsa dell’anteprima nel caso dei formati per i quali Microsoft ritiene accettabile farlo automaticamente.

PDF, immagini o documenti diversi da HTML non diventano intrinsecamente sicuri: sono formati che possono contenere strutture complesse e vengono elaborati da software che, come qualsiasi parser, può essere interessato da vulnerabilità. La novità è che Windows torna a consentirne la preview automatica pur mantenendo una precauzione supplementare per HTML.