La CISA ha dato alle agenzie tre giorni per correggere questa falla di Windows - ecco se riguarda anche il vostro PC

Microsoft l'ha corretta ad aprile. Mercoledì la CISA l'ha aggiunta alla lista delle vulnerabilità sfruttate in attacchi reali, dando alle agenzie federali tre giorni per applicare la patch invece delle consuete due settimane. Questa scadenza dice molto su come l'agenzia la valuti.

CVE-2026-33824 si trova nella Windows IKE Extension, l'infrastruttura di rete che gestisce l'handshake delle connessioni VPN cifrate. Ha un punteggio di 9,8 su 10, e il motivo è la combinazione di caratteristiche più che una singola di esse: un aggressore può eseguire codice sulla macchina inviandole pacchetti appositamente creati, senza bisogno di alcuna password e senza bisogno di nulla da parte vostra. Nessun clic, nessun download. Il traffico arriva sulle porte UDP 500 e 4500. Sono interessate tutte le versioni supportate di Windows 10, Windows 11 e Windows Server.

Ora la parte che dovrebbe abbassarvi il battito cardiaco. Quelle porte devono essere raggiungibili perché tutto questo funzioni, e su una normale rete domestica non lo sono: il router non inoltra al PC traffico in ingresso non richiesto a meno che qualcuno non l'abbia configurato apposta per farlo. Le macchine davvero esposte sono quelle collegate direttamente a internet, o raggiungibili su una rete dove un aggressore ha già preso piede. Né Microsoft né la CISA hanno detto chi la sta sfruttando né come.

La patch è presente su Windows Update fin dal Patch Tuesday di aprile, e ogni aggiornamento mensile successivo la porta avanti. Quindi la domanda non è se serva, ma se i vostri aggiornamenti si siano effettivamente installati. Il controllo dello stato di sicurezza di Tendvane risponde in pochi secondi, e la procedura guidata di riparazione di Windows Update è lì per i PC dove gli aggiornamenti continuano a fallire.