Semperis, azienda di cyber resilience e gestione delle crisi basata sull’identità, ha annunciato che Shai Laron, Security Researcher di Semperis, ha scoperto due vulnerabilità critiche di escalation dei privilegi in Active Directory (AD) che potrebbero consentire agli attaccanti di porre le basi per la compromissione completa di un dominio. Sfruttandole, i criminali informatici potrebbero infatti muoversi lateralmente all’interno dell’ambiente, mantenere un accesso persistente, indebolire i meccanismi di autenticazione, interrompere servizi critici, sottrarre dati sensibili e potenzialmente distribuire ransomware all’interno dell’intera organizzazione. Laron ha recentemente presentato i risultati della sua ricerca a un vasto pubblico in occasione delle conferenze Black Hat 2026 e DEF CON.
Denominate ResetNightmare (CVE-2026-27912) e KerberLoss (CVE-2026-25177), le due vulnerabilità di Active Directory potrebbero consentire agli attaccanti di manipolare il modo in cui il sistema di identità di un’organizzazione riconosce utenti e servizi. Le vulnerabilità sfruttano caratteri Unicode nascosti e alcune debolezze nei meccanismi di convalida dei nomi di Active Directory. Microsoft ha corretto KerberLoss nel marzo 2026 e ResetNightmare nell’aprile 2026. Le organizzazioni possono inoltre utilizzare le funzionalità di auditing di Active Directory, incluso il Security Event ID 5136, per individuare modifiche sospette alla directory.
In termini semplici, un attaccante potrebbe fare in modo che due account o servizi differenti appaiano come se avessero lo stesso nome. Questa confusione a livello di identità potrebbe compromettere l’accesso a sistemi critici per il business, costringere alcuni servizi a utilizzare un metodo di autenticazione meno sicuro oppure consentire a un attaccante di impersonare un utente con privilegi elevati. ResetNightmare è la più grave delle due vulnerabilità perché, in determinate condizioni, potrebbe permettere anche a un attaccante con privilegi limitati di assumere il controllo di un intero dominio Active Directory.
“Active Directory continua a rappresentare uno degli asset più critici dell’infrastruttura aziendale e, per gli attaccanti, l’obiettivo più ambito è chiaro: ottenere i privilegi di Domain Admin”, ha dichiarato Shai Laron. “Un simile livello di privilegi garantisce di fatto il pieno controllo sull’ambiente di un’organizzazione. La protezione delle identità rappresenta quindi una componente fondamentale della sicurezza aziendale e le organizzazioni investono risorse significative per impedire agli attaccanti di ottenere l’accesso alle credenziali degli amministratori”.
“L’importante scoperta di Shai delle vulnerabilità ResetNightmare e KerberLoss in Active Directory dimostra come anche una sottile ambiguità nella gestione delle identità in AD possa portare all’indebolimento dell’autenticazione, ad attacchi denial-of-service e persino alla compromissione completa del dominio”, ha commentato Tomer Bar, AVP of Security Research di Semperis. “Il suo lavoro offre ai responsabili della sicurezza indicazioni preziose sulle nuove minacce che prendono di mira le identità e aiuta le organizzazioni a rafforzare i propri ambienti prima che gli attaccanti possano sfruttarne le vulnerabilità”.
Microsoft ha classificato ResetNightmare e KerberLoss come vulnerabilità di escalation dei privilegi con livello di gravità “Importante” secondo il proprio sistema di valutazione. Semperis, invece, considera entrambe le vulnerabilità un rischio “Grave” (SEVERE) per le organizzazioni.
La ricerca di Laron evidenzia l’importanza di considerare i sistemi di identità come un vero e proprio perimetro critico di sicurezza. Gli attaccanti, infatti, non devono necessariamente sottrarre la password di un amministratore se riescono a manipolare i sistemi che stabiliscono chi è autorizzato ad accedere alle risorse critiche.
