Un use-after-free nel driver che ogni socket Windows tocca

CVE-2026-68820 risiede in AFD.sys, l'Ancillary Function Driver per WinSock, il componente in modalità kernel che ogni applicazione Windows tocca nel momento in cui apre un socket di rete. L'avviso di Microsoft lo descrive come un use-after-free innescato da una race condition: un aggressore autenticato localmente può eseguire un'applicazione appositamente creata che colpisce il driver da più thread contemporaneamente, lo coglie in uno stato incoerente e sfrutta quell'incoerenza per eseguire codice dentro il kernel. L'avviso fissa il punteggio base CVSS a 7,0 e l'esito, senza giri di parole, come elevazione di privilegi a SYSTEM, il livello di controllo più alto che una macchina Windows concede.

La parola 'autenticato localmente' conta quanto la parola 'kernel'. Questa falla non fa entrare da sola un estraneo in una macchina; trasforma chi già esegue codice su quella macchina nel suo proprietario. Non è un dettaglio tecnico. È esattamente la forma della seconda fase di un'intrusione, ed è attorno a questa fase che l'attore ha costruito l'intera campagna.

Operation Dream Job: un falso recruiter come porta d'ingresso

I ricercatori di Check Point Moshe Marelus e David Driker hanno attribuito lo sfruttamento attivo di CVE-2026-68820 al gruppo nordcoreano Lazarus, nell'ambito della campagna di esca di lunga data che l'azienda segue come Operation Dream Job. L'approccio è sociale, non tecnico: contatti di reclutamento falsificati che si spacciano per Lockheed Martin e la società di tecnologie per la privacy Enveil, inviati a dipendenti di organizzazioni della difesa, aerospaziali e dell'aviazione in più paesi, con attività concentrata contro bersagli in Europa e India. L'esca è un'offerta di lavoro attraente; l'allegato è il payload della prima fase.

Non appena un bersaglio apriva l'esca ed eseguiva il file allegato, gli operatori ottenevano esecuzione di codice locale, la condizione preliminare di cui CVE-2026-68820 ha bisogno. Da lì Check Point ha osservato una nuova variante in modalità kernel del rootkit FudModule distribuita insieme a una backdoor prima non documentata che l'azienda ha chiamato Troy, quindi la race condition di AFD.sys usata per salire da un processo comune a SYSTEM. Un'email convincente, un clic, e un operatore legato a uno stato possiede l'endpoint per intero.

Dieci settimane tra il primo sfruttamento e la correzione

Check Point afferma di aver osservato per la prima volta aggressori accanirsi su questa falla specifica all'inizio di giugno 2026. Microsoft non ha rilasciato una correzione fino al ciclo del Patch Tuesday dell'11 agosto, il che lascia circa dieci settimane tra lo sfruttamento confermato in circolazione e l'esistenza stessa di una patch. La CISA ha aggiunto CVE-2026-68820 al proprio catalogo delle vulnerabilità sfruttate note lo stesso giorno in cui è uscita la correzione, con scadenza al 25 agosto ai sensi della Binding Operational Directive 26-04.

La correzione stessa è arrivata dentro una nutrita pubblicazione mensile: il conteggio proprio di Microsoft per il ciclo è stato di 421 CVE, mentre il tracker indipendente Zero Day Initiative ne ha contate 398 nuove, 62 delle quali classificate critiche. Qualunque conteggio si usi, CVE-2026-68820 è stata l'unica voce che Microsoft ha segnalato come attivamente sfruttata quel mese, un attacco reale confermato dentro un lotto di alcune centinaia teoriche.

Perché il Patch Tuesday non può essere il sistema di allerta precoce del settore difesa

Il Patch Tuesday gira su un orologio mensile fisso. Una campagna mirata di un attore statale gira sul proprio calendario, e in questo caso quel calendario ha dato a Lazarus circa dieci settimane di accesso SYSTEM funzionante contro esattamente il settore con la minore tolleranza per questo. Per la maggior parte dei settori, una finestra di esposizione di dieci settimane su una falla locale di gravità media è un costo accettabile di un ciclo di patch mensile. Per un fornitore della difesa già scelto su misura da un servizio di intelligence statale tramite una falsa offerta di lavoro, quella stessa finestra è l'intera campagna, dall'inizio alla fine, portata a termine prima che esistesse una correzione capace di interromperla.

Il fallimento qui non è mai stato il ritmo delle patch; Microsoft ha agito non appena confermato lo sfruttamento, e la correzione è arrivata dentro un normale ciclo di rilascio. Il vuoto stava nel rilevamento durante le dieci settimane in cui non esisteva alcuna patch a chiuderlo. Questo ridefinisce il vero problema per i team di sicurezza della difesa e dell'aerospazio: l'esposizione da gestire non è anzitutto un problema di velocità di applicazione delle patch, è un problema di rilevamento comportamentale e ingegneria sociale, e trattare la conformità mensile alle patch come risposta a una campagna mirata fraintende cosa quella campagna sia stata davvero.

Cosa dovrebbero fare questa settimana i team di sicurezza della difesa e dell'aerospazio

Applicate ora la patch di agosto; questo passo non è facoltativo. Ma la patch da sola non risolve la finestra di dieci settimane appena dimostrata da questo incidente, quindi abbinatela a un rilevamento calibrato sulla tecnica piuttosto che sul numero CVE: elevazione di privilegi inattesa che origina dalla gestione dei socket o da attività a livello driver, caricamenti di driver in modalità kernel non firmati o sconosciuti al di fuori di una finestra di modifica pianificata, e comportamento di persistenza in stile rootkit invece di un confronto di firma su un hash di file specifico che sarà diverso la prossima volta.

Secondo, trattate i contatti di reclutamento come una superficie di attacco per chiunque ricopra un ruolo che lo rende un bersaglio plausibile: ingegneri e personale di programma con profili pubblici che citano programmi della difesa o aerospaziali, e contatti delle risorse umane e del reclutamento che per definizione ricevono approcci non richiesti. Un breve passaggio di verifica obbligatorio prima di aprire un allegato da un recruiter sconosciuto, per quanto credibile appaia il marchio, chiude esattamente il punto d'ingresso che questa campagna ha usato ogni volta.

Da leggere ora: Lo strumento RMM del tuo MSP ha un secondo bypass  |  Infiltrato: la rete hacker della Corea del Nord