Una vulnerabilità con punteggio CVSS 9.8 nel servizio LDAP di Windows riguarda, per definizione, il sistema che ogni azienda con un dominio Active Directory usa per far funzionare login, permessi e accesso alle risorse condivise. La falla, identificata come CVE-2026-119958, è stata corretta nell'aggiornamento di sicurezza del 10 novembre 2026, ma la sua natura — eseguibile da remoto, senza credenziali, senza alcuna interazione della vittima — la colloca tra le priorità assolute per chi amministra server Windows on-premise.
Che cos'è un domain controller e perché LDAP è il suo cuore
Il domain controller è il server che custodisce l'anagrafica digitale dell'azienda: elenco degli utenti, password, gruppi, permessi su cartelle condivise, criteri di sicurezza. Ogni volta che un dipendente accende il PC aziendale, apre una cartella di rete o si collega a una stampante condivisa, il sistema interroga il domain controller per verificare chi è e cosa può fare.
LDAP (Lightweight Directory Access Protocol) è il linguaggio con cui questa interrogazione avviene. È un servizio che gira su ogni domain controller Windows Server, per definizione, e non può essere disattivato senza bloccare il funzionamento dell'intero dominio. Questo significa che la falla non riguarda un'applicazione accessoria o un modulo opzionale, ma il meccanismo stesso su cui si regge l'autenticazione aziendale.
Perché una falla non autenticata preoccupa anche senza exploit pubblici
CVE-2026-119958 è un difetto di tipo «out-of-bounds write»: in pratica, un errore nella gestione della memoria che, se innescato con una richiesta LDAP costruita ad arte, permette di eseguire codice arbitrario sul server. Il punto critico è che l'attacco non richiede alcuna credenziale valida né alcuna azione da parte di un utente: basta che il server sia raggiungibile in rete.
Microsoft, al momento, valuta lo sfruttamento come «meno probabile» e non risultano attacchi in corso né segnalazioni nel catalogo delle vulnerabilità sfruttate attivamente tenuto dalle agenzie di cybersicurezza. Diversi centri di analisi indipendenti, tra cui CrowdStrike, hanno comunque inserito questa falla tra le prime da correggere nel mese, proprio per la combinazione di tre fattori: punteggio di gravità massimo, nessuna autenticazione richiesta, e un bersaglio — il domain controller — che è il punto più delicato dell'intera infrastruttura IT aziendale. Un aggressore che riuscisse a eseguire codice sul servizio LDAP di un domain controller si troverebbe dentro il perimetro di fiducia da cui dipendono tutte le altre risorse del dominio: utenti, permessi, cartelle condivise, altri server.
È per questo che un difetto «senza exploit pubblici» non va letto come un difetto a bassa priorità: la finestra tra la pubblicazione di una patch e la comparsa dei primi tentativi di sfruttamento si è accorciata negli ultimi anni, e le vulnerabilità che toccano Active Directory sono storicamente tra le più ricercate dai gruppi ransomware.
Cosa fare subito: la patch c'è, va verificata e applicata
La correzione per CVE-2026-119958 è inclusa nell'aggiornamento cumulativo rilasciato da Microsoft il 10 novembre 2026 e riguarda una gamma ampia di sistemi: Windows Server 2016, 2019, 2022 e 2025 (incluse le installazioni Server Core), oltre a diverse versioni di Windows 10 e Windows 11 ancora in uso in molte aziende. In concreto, un responsabile IT dovrebbe:
- Verificare, tramite Windows Update o la console WSUS/SCCM aziendale, che l'aggiornamento di novembre 2026 risulti installato su tutti i domain controller, non solo sui server applicativi più visibili.
- Controllare anche le versioni client (Windows 10 e Windows 11) presenti sulle postazioni, perché il componente LDAP vulnerabile non è esclusivo dei server.
- Programmare un riavvio dei domain controller dopo l'installazione, passaggio spesso rimandato proprio sui server più critici per timore di fermare servizi essenziali — un timore comprensibile, ma che va gestito con una finestra di manutenzione pianificata, non con un rinvio indefinito.
- Documentare l'esito della verifica, così da poter dimostrare, in caso di controllo o incidente, che la patch è stata applicata entro tempi ragionevoli.
Il rischio cresce se il domain controller è esposto
Non tutti i domain controller hanno lo stesso livello di esposizione. Il rischio aumenta sensibilmente per i server raggiungibili da reti non fidate: succursali collegate con VPN mal configurate, domain controller virtualizzati su infrastrutture cloud con regole di firewall troppo permissive, o ambienti dove le porte LDAP (389, 636, e le porte del catalogo globale 3268, 3269) risultano accessibili oltre il necessario. In attesa di completare la verifica degli aggiornamenti, è buona prassi controllare che queste porte non siano raggiungibili da internet o da segmenti di rete non attendibili, e tenere d'occhio eventuali traffico LDAP anomalo o riavvii imprevisti del servizio sui domain controller.
Molte PMI italiane hanno ancora l'infrastruttura di autenticazione interamente on-premise, spesso su server che non vengono monitorati con la stessa attenzione riservata ai sistemi rivolti verso l'esterno, come siti web o gestionali cloud. È un punto cieco comune: il domain controller «funziona da anni» e viene aggiornato meno spesso di quanto si pensi, proprio perché toccarlo fa paura.
Dalla singola patch alla gestione strutturata degli aggiornamenti
Questo episodio si inserisce in un tema più ampio: la gestione delle patch su infrastrutture on-premise richiede un processo, non un intervento occasionale dopo ogni notizia allarmante. Sapere quali server sono domain controller, quali versioni di Windows girano su ciascuno, quali porte sono esposte e quando è stato applicato l'ultimo aggiornamento sono informazioni che vanno tenute aggiornate in modo continuativo, non ricostruite ogni volta sotto pressione.
Hi-Keep segue da anni, come parte dei propri servizi di Infrastrutture IT, la gestione e il monitoraggio dei domain controller e dei server on-premise dei clienti, compresa la verifica sistematica degli aggiornamenti di sicurezza mensili e il controllo dell'esposizione di rete dei servizi critici. Per le aziende che vogliono accertarsi di avere la patch di novembre 2026 correttamente installata su tutti i domain controller, o che non hanno più chiara la mappa dei server che espongono LDAP verso reti esterne, Hi-Keep può eseguire una verifica puntuale e impostare un processo di patch management strutturato per evitare che il prossimo aggiornamento critico arrivi di nuovo come un'emergenza da gestire in fretta.