La vulnerabilità nota come BlueHammer, una falla di elevazione dei privilegi in Microsoft Defender, è passata dall’essere un bug da zero-day a un’arma nelle mani di gruppi ransomware. A confermarlo è la CISA, l’agenzia statunitense per la cybersicurezza, che ha aggiornato il catalogo delle minacce sfruttate attivamente nonostante la patch correttiva sia disponibile da metà aprile.
Cos’è BlueHammer e perché è pericoloso
BlueHammer (CVE-2026-24491) è una vulnerabilità che colpisce il motore di Microsoft Defender, consentendo a un utente malintenzionato con accesso locale di elevare i propri privilegi fino al livello SYSTEM. In pratica, una volta che un attaccante è riuscito a entrare in un sistema Windows, anche con diritti limitati, può sfruttare questa falla per ottenere il controllo completo della macchina, disabilitare le protezioni e distribuire payload dannosi.
La patch è stata rilasciata da Microsoft il 14 aprile 2026, ma molte organizzazioni e singoli utenti non hanno ancora applicato l’aggiornamento, lasciando la porta aperta a exploit che ora vengono integrati in campagne ransomware attive.
Da zero-day a strumento per i criminali
Prima della correzione, BlueHammer era già stata utilizzata in attacchi zero-day, ma ora CISA segnala che è diventata parte del toolkit di bande ransomware. L’agenzia ha inserito la CVE nel catalogo KEV (Known Exploited Vulnerabilities), imponendo a tutte le agenzie federali statunitensi di applicare la patch entro una scadenza stringente. L’alert, però, è rivolto a chiunque utilizzi Windows: la minaccia è concreta per tutti i sistemi non aggiornati.
Lo sfruttamento richiede un accesso locale già compromesso, spesso ottenuto tramite phishing, credenziali rubate o altre vulnerabilità. Una volta dentro, l’escalation tramite BlueHammer permette di eseguire malware con i massimi privilegi, facilitando la crittografia dei dati e la richiesta di riscatto.
L’importanza di aggiornare subito
Nonostante la semplicità della mitigazione – installare gli aggiornamenti di Windows – il ritardo nell’applicazione delle patch è una piaga che continua a favorire gli attaccanti. BlueHammer non fa eccezione: la disponibilità della correzione da settimane non ha impedito ai gruppi ransomware di sfruttarla, segno che molti ambienti IT restano scoperti.
Per i professionisti della sicurezza, la lezione è duplice: monitorare costantemente il catalogo KEV di CISA e automatizzare il ciclo di patch management per ridurre la finestra di esposizione. Per gli utenti comuni, è cruciale accettare e installare tempestivamente gli aggiornamenti di sistema, che includono le definizioni di Defender.
Cosa significa per chi legge
Se usi Windows, verifica immediatamente che il tuo sistema sia aggiornato. La patch per BlueHammer è inclusa negli aggiornamenti cumulativi di aprile 2026: basta andare su Impostazioni > Windows Update e controllare. Per le aziende, è il momento di rivedere le policy di aggiornamento e magari eseguire una scansione per individuare host non conformi. Infine, tieni presente che il ransomware spesso arriva dopo un accesso iniziale: formare i collaboratori a riconoscere tentativi di phishing è la prima barriera. La sicurezza, a volte, passa da gesti semplici – ma vanno fatti subito.