Microsoft corregge vulnerabilità 0-day di Office

Microsoft ha rilasciato la patch di emergenza che corregge una vulnerabilità zero-day di Office che può essere sfruttata per eseguire codice nascosto nei file e installare malware sul computer, aggirando le protezioni di sicurezza. Per Office 2016 e 2021 è disponibile una soluzione alternativa tramite modifica del registro di Windows.

Descrizione del bug di Office

La vulnerabilità zero-day, indicata con CVE-2026-21509, è presente in Office 2016, Office 2019, Office LTSC 2021, Office LTSC 2024 e Microsoft 365 Apps for Enterprise. La suite di produttività può bloccare il codice infetto nascosto nei documenti Word, i fogli di lavoro Excel e altri tipi di file, ma in questo caso è possibile aggirare le protezioni.

Sono in circolazione exploit che consentono ai cybercriminali di sfruttare la vulnerabilità inviando file infetti agli utenti. È necessario aprirli per eseguire il codice, ma esistono varie tecniche per ingannare le ignare vittime. Microsoft non spiega il problema in dettaglio. Scrive genericamente che il bug è presente nei controlli COM/OLE.

Per Office LTSC 2021/2024 e Microsoft 365 Apps è stato rilasciato un fix lato server, quindi è necessario solo riavviare le applicazioni. Gli utenti che usano invece Office 2016 e 2019 devono installare le relative patch. Al termine della procedura, la build diventerà 16.0.10417.20095.

In alternativa alle patch è possibile risolvere il problema attraverso la modifica del registro (per utenti esperti). Dopo aver chiuso tutte le applicazioni Office e avviato l’editor del registro (regedit.exe) si deve cercare una di queste chiavi:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\ClickToRun\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility\

Se non c’è deve essere creata. All’interno del nodo COM Compatibility deve essere creata la sottochiave {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}. All’interno della sottochiave deve essere aggiunto un nuovo valore DWORD (32-bit) con nome Compatibility Flags. Il valore esadecimale da inserire (doppio clic) è 400.

Dopo aver chiuso l’editor è possibile riavviare le applicazioni Office. Microsoft non ha spiegato come è stata sfruttata la vulnerabilità.