Il fix di Microsoft Defender è peggio del problema? La patch su Windows riempie il disco

Microsoft ha rilasciato un aggiornamento per Windows Defender che, pur risolvendo una vulnerabilità zero-day critica, potrebbe innescare un nuovo problema forse anche peggiore: l'esaurimento dello spazio su disco. Il ricercatore che per primo ha scovato il difetto, noto con lo pseudonimo di NightmareEclipse, ha infatti segnalato come la patch implementata abbia un grave effetto collaterale.

La vulnerabilità originale, identificata come CVE-2026-50656 e conosciuta come RoguePlanet, era emersa a giugno quando NightmareEclipse l'aveva resa pubblica, includendo il codice per sfruttarla. Questo difetto permetteva ad aggressori remoti di ottenere il controllo amministrativo su sistemi Windows 10 e Windows 11, anche con la protezione in tempo reale di Defender disabilitata. Negli ultimi mesi, lo stesso ricercatore ha divulgato diverse altre vulnerabilità zero-day, costringendo Microsoft a interventi rapidi per rilasciare correzioni.

La "difesa in profondità" che rischia di bloccare il sistema

Il colosso di Redmond ha comunicato mercoledì di aver risolto RoguePlanet con un aggiornamento al Microsoft Malware Protection Engine, il cuore dell'applicazione antivirus Defender. Il fix viene scaricato e installato automaticamente, senza richiedere interventi da parte degli utenti. L'update include anche "aggiornamenti di difesa in profondità volti a migliorare le funzionalità di sicurezza".

Tuttavia, NightmareEclipse ha rivelato che proprio queste aggiunte di "difesa in profondità" creano un comportamento che potrebbe consentire agli attaccanti di saturare completamente lo spazio disponibile su un hard disk, scrivendo quantità massicce di dati. Le nuove mitigazioni hanno introdotto un problema nel driver mpengine.dll, associato al Microsoft Malware Protection Engine, che in alcuni casi provoca una perdita di 8 byte di dati ogni volta che tenta di aprire un file. Anche nuove funzionalità in SpyNet, un servizio cloud che permette a Microsoft Security Essentials o Forefront Endpoint Protection di inviare rapporti a Microsoft su software sospetti, contribuiscono a questo potenziale comportamento di scrittura massiva di file.

Normalmente, Defender impone limiti rigorosi sulla dimensione dei file che possono essere scritti su disco durante la scansione e la quarantena, proprio per evitare che un file eccessivamente grande possa esaurire lo spazio disponibile.

Il ricercatore ha spiegato che "questa implementazione ha senso, perché mettere in quarantena un file enorme causerebbe a Defender l'esaurimento completo dello spazio su disco disponibile". Ha però individuato una specifica eccezione a questa regola: "Apparentemente le funzioni spynet in mpengine.dll vogliono mantenere una copia locale del file Zone.Identifier ADS e non importa quanto grande sia questo file, Windows Defender lo memorizzerà comunque nella cache localmente". È proprio questa interazione anomala, in combinazione con la perdita di dati, che apre la porta al rischio di saturazione del disco.