Su 11 agosto 2026, un ricercatore nel campo della sicurezza ha reso pubblico un proof-of-concept denominato ShieldBreak, che consente di aggirare completamente la patch rilasciata d Microsoft a luglio (RoguePlanet) relativa a una vulnerabilità di escalation dei privilegi in Windows Defender, con un tasso di successo riportato pari al 100% nei confronti di Windows 11 25H2 e Windows Server 2025. Non esisteva alcuna soluzione fornita dal produttore per aggirare il problema. L'unica vera difesa era chi agiva per primo.
| Minaccia | Squadra di intervento | Risultato |
|---|---|---|
| Windows Vulnerabilità zero-day di Defender relativa all’escalation dei privilegi (aggira la patch relativa alla vulnerabilità CVE-2026-50656 / RoguePlanet); non è disponibile alcuna patch del fornitore per tale aggiramento; tasso di successo del PoC pari al 100% | HuntIQ Threat Hunters + Tanium Guardian + Tanium Atlas: cacciatori di minacce supportati da strumenti assistiti dall’intelligenza artificiale | Rilevata, mitigata e contenuta in circa 48 ore, prima ancora che il fornitore rilasciasse una correzione |
ShieldBreak non rappresenta un caso isolato. I dati di telemetria interna relativi alla base clienti di Tanium mostrano che il volume giornaliero delle nuove vulnerabilità individuate ha registrato un’impennata dalla metà del 2026 — raggiungendo un livello pari a circa quattro o cinque volte il valore di riferimento stabile che avevamo monitorato nei nove mesi precedenti — e non è ancora tornato a livelli precedenti. Del resto, non siamo gli unici a osservare questo andamento di crescita. Dati indipendenti forniti da Epoch AI (si apre in una nuova scheda) indicano che le vulnerabilità segnalate di gravità critica e elevata da parte delle principali aziende hanno registrato un aumento altrettanto marcato nello stesso periodo. Attendere una patch da parte del fornitore non è più una strategia affidabile. Le organizzazioni che riescono a distinguersi sono quelle che individuano le vulnerabilità prima che vengano sfruttate e che sono in grado di analizzare i propri dati in tempo reale endpoint non appena si manifesta una minaccia.
“In caso di vulnerabilità zero-day, non è possibile raccogliere dati in anticipo e sperare di aver già raccolto la telemetria corretta nel proprio SIEM o EDR . Con " Tanium", potrete individuare immediatamente i punti vulnerabili effettuando query sui dati in tempo reale presenti nel vostro ambiente " endpoint ". «E nei casi peggiori, è possibile vedere esattamente dove si sta subendo uno sfruttamento, proprio mentre sta avvenendo.» — Aaron Smith, responsabile del Threat Hunting
Come funzionava il servizio di risposta in giornata
Il team di ricerca sulle minacce di HuntIQ ha eseguito il proof-of-concept ShieldBreak in laboratorio entro circa un’ora dalla sua pubblicazione. La tecnica in sé è specifica: registra un provider di archiviazione cloud non autorizzato, lo abbina alla manipolazione dei log e ai collegamenti simbolici, e induce la pipeline di scansione di Windows Defender a sostituire un file di sistema legittimo con uno dannoso, generando infine una shell. I cacciatori hanno sfruttato quel dettaglio per elaborare rapidamente un piano di ricerca iniziale.
Il team di Hunter ha quindi testato i segnali su una scala di oltre 50.000 endpoint , incrociando gli indicatori con le informazioni sulle minacce e confermando che l’exploit era già in uso in ambiente reale.
Una volta confermata la situazione, Tanium ha inviato a ogni cliente cloud un pacchetto di misure correttive e di rollback, fornito all’interno della dashboard di Guardian, che individuava automaticamente quali endpoint fossero effettivamente esposti.
I clienti che disponevano di una regola di risposta automatica preconfigurata associata a un segnale specifico hanno visto il processo di exploit interrotto d Tanium Atlas nell’istante stesso in cui è comparso, senza che fosse necessario l’intervento di alcun analista.
La posta in gioco, in sintesi
Il rapporto “ 2026 Data Breach Investigations Report” di Verizon (si apre in una nuova scheda) indica che il tempo mediano necessario per correggere una vulnerabilità nota e già sfruttata è pari a 43 giorni. Ciò che normalmente richiede settimane — il reverse engineering dell’exploit, il rilevamento manuale, i test per individuare i falsi positivi, la stesura e l’approvazione di una correzione, la sua implementazione e infine la ricerca retroattiva — è stato portato a termine dal team dedicato all Tanium in 48 ore dall’inizio alla fine, superando la mediana del settore del 95%.
Ecco cosa offre il reparto Security Operations di Tanium : individuazione, mitigazione e contenimento prima ancora che la minaccia sia stata identificata.