Partiamo dal perimetro, così chi non c’entra può smettere di leggere subito.
Questa notizia riguarda le aziende che hanno un dominio Windows — cioè un server in ufficio dove sono censiti gli utenti, e i dipendenti accedono al computer con credenziali aziendali anziché con un account locale — e in più i certificati interni, il componente che Microsoft chiama Active Directory Certificate Services. Se in azienda ognuno accende il proprio portatile con un account suo e non esiste nessun server, questa storia non ti tocca.
Se invece il dominio c’è, vale i prossimi cinque minuti.
Cos’è successo
Il 14 luglio, con il consueto rilascio mensile di aggiornamenti, Microsoft ha corretto una vulnerabilità identificata come CVE-2026-54121 e battezzata dai ricercatori Certighost. Punteggio di gravità 8,8 su 10.
L’effetto, tradotto: un utente qualunque del dominio — un dipendente con i permessi più bassi che esistano, o chiunque sia riuscito a rubargli le credenziali con un phishing — può arrivare a controllare l’intera infrastruttura. Non un file, non una cartella: tutto. Gli account, le policy, gli accessi.
Il 24 luglio sono stati pubblicati i dettagli tecnici completi e un proof of concept, cioè codice funzionante che dimostra l’attacco. Ed è questo il fatto nuovo, più della falla in sé.
Quando esce solo la patch, sfruttare la falla richiede tempo, competenza e ricerca autonoma: pochi ci provano. Quando esce il codice dimostrativo pubblico, la barriera d'ingresso crolla e la finestra tra 'esiste una correzione' e 'qualcuno la usa contro chi non l'ha applicata' si accorcia da mesi a giorni.
Perché una PMI dovrebbe averlo, questo componente
Domanda legittima: chi ha installato in una ditta da dodici persone un sistema di certificati interni?
Quasi sempre nessuno l’ha deciso davvero. Active Directory Certificate Services viene attivato dal fornitore IT quando serve una di queste cose: la connessione VPN per chi lavora da casa, il wi-fi aziendale con autenticazione a certificato invece che a password condivisa, la firma di documenti interni, o l’accesso sicuro a un gestionale in rete locale. Sono richieste normalissime. Il componente arriva insieme, resta acceso, e nessuno se ne ricorda più.
Ecco perché il criterio di autodiagnosi non è “so cos’è AD CS”, ma: abbiamo un server in ufficio e negli anni abbiamo chiesto VPN, wi-fi aziendale con login personale o accessi a certificato? Se la risposta è sì, la verifica va fatta.
Cosa chiedere al tuo fornitore IT, per iscritto
Se non gestisci i sistemi in proprio, non serve che diventi esperto. Serve che poni tre domande precise e ti fai rispondere per iscritto — la mail vale come traccia, la telefonata no:
- Abbiamo Active Directory Certificate Services attivo su qualche server? Se sì, su quali.
- Gli aggiornamenti di sicurezza Microsoft del 14 luglio 2026 sono stati installati su quei server? Se no, quando lo saranno.
- Se non si può aggiornare subito, quale mitigazione temporanea è stata applicata nel frattempo?
La terza domanda è quella che distingue una risposta seria. Capita che un server non si possa riavviare in giornata per ragioni operative reali: è legittimo, purché nel frattempo qualcuno abbia messo una misura tampone e non ci si sia limitati a rimandare.
Un’osservazione sul metodo, che vale oltre questo caso
Questa vicenda mostra bene una cosa che nella piccola impresa passa inosservata: il rischio maggiore non è che il tuo fornitore non sappia fare il lavoro, è che nessuno gli abbia mai chiesto di farlo entro una data. Gli aggiornamenti dei server, nella maggior parte dei contratti di assistenza a chiamata, non sono compresi: si interviene quando qualcosa si rompe.
Se il tuo contratto è di quel tipo, la domanda vera da porre non riguarda Certighost. Riguarda chi applica le patch, con che frequenza, e chi te lo conferma.
In breve
Una vulnerabilità di gravità 8,8 in Active Directory Certificate Services di Windows consente a un utente di dominio con privilegi minimi di prendere il controllo dell’intera infrastruttura. Microsoft l’ha corretta il 14 luglio 2026; il 24 luglio sono stati pubblicati dettagli tecnici e codice dimostrativo funzionante, il che accorcia drasticamente i tempi. Riguarda solo chi ha un server con dominio Windows e i certificati interni — condizione più comune di quanto si creda, perché il componente viene attivato insieme a VPN e wi-fi aziendale. Se hai gli aggiornamenti automatici attivi sei verosimilmente coperto; in ogni altro caso, tre domande scritte al fornitore IT chiudono la questione oggi.