Microsoft Windows Server 2016
Windows Server 2016: lettura fuori dai limiti in DHCP Server, possibile esecuzione di codice
Il problema, secondo i dati ufficiali
- Una falla di tipo out-of-bounds read (lettura di memoria fuori dai limiti previsti) nel servizio Windows DHCP Server permette a un attaccante non autorizzato di eseguire codice attraverso la rete.
- Secondo il punteggio ufficiale, la falla si sfrutta via rete, quindi anche da internet se il servizio è esposto, e non serve alcun account.
Cosa fare
- Aggiorna Windows Server 2016 alla versione 10.0.14393.9688 o successiva; Windows Server 2016 (Server Core installation) alla versione 10.0.14393.9688 o successiva; Windows Server 2019 alla versione 10.0.17763.9487 o successiva.
- Sono colpiti anche altri prodotti: le versioni corrette sono nell'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- Windows Server 2016: dalla 10.0.14393.0 alla 10.0.14393.9688 esclusa
- Windows Server 2016 (Server Core installation): dalla 10.0.14393.0 alla 10.0.14393.9688 esclusa
- Windows Server 2019: dalla 10.0.17763.0 alla 10.0.17763.9487 esclusa
- Windows Server 2019 (Server Core installation): dalla 10.0.17763.0 alla 10.0.17763.9487 esclusa
- Windows Server 2022: dalla 10.0.20348.0 alla 10.0.20348.5870 esclusa
- Windows Server 2025: dalla 10.0.26100.0 alla 10.0.26100.33822 esclusa
Ne parlano
- CVE-2026-88243 Windows DHCP Server Remote Code Execution Vulnerability — Microsoft MSRC, 10 novembre 2026
Fonti ufficiali
- msrc.microsoft.com — avviso del produttore
Descrizione ufficiale (in inglese)
Out-of-bounds read in Windows DHCP Server allows an unauthorized attacker to execute code over a network.
Non sai se ti riguarda?
Se usi Microsoft Windows Server 2016 e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 10 novembre 2026. Prima di intervenire verifica l'avviso del produttore.