Zerologon è il nome con cui è conosciuta la vulnerabilità CVE-2020-1472 del protocollo Netlogon Remote Protocol (MS-NRPC) di Microsoft. È stata resa pubblica nel 2020 e ha ricevuto un punteggio CVSS 10 perché, in un ambiente vulnerabile, un attaccante con accesso di rete a un Domain Controller poteva sfruttare il meccanismo di autenticazione Netlogon fino alla compromissione del dominio.
Nel 2026 Zerologon non deve essere presentata come una nuova minaccia: Microsoft ha rilasciato le correzioni nel 2020 e ha imposto l’uso di RPC sicuro per il canale Netlogon nella fase di enforcement del 9 febbraio 2021. Il controllo resta però utile negli audit quando esistono Domain Controller legacy, sistemi ripristinati da immagini datate, eccezioni storiche o implementazioni di terze parti non conformi.
Che cos’è Zerologon
La vulnerabilità nasceva da un difetto nel modo in cui Netlogon gestiva la crittografia durante l’autenticazione del canale sicuro. In condizioni specifiche, l’attaccante poteva sfruttare valori controllati per ottenere un’autenticazione non autorizzata verso il Domain Controller senza possedere credenziali valide.
L’impatto era critico perché il canale Netlogon è parte dell’infrastruttura di fiducia del dominio. La compromissione di un Domain Controller può tradursi nel controllo degli account, delle policy e delle risorse collegate ad Active Directory.
Zerologon è ancora sfruttabile nel 2026?
Su Domain Controller Windows supportati e completamente aggiornati la configurazione vulnerabile non rappresenta lo stato normale. Microsoft indica che le versioni supportate e correttamente aggiornate non dovrebbero utilizzare connessioni vulnerabili del canale sicuro Netlogon.
Il rischio residuo va cercato negli ambienti fuori standard: server non patchati, sistemi obsoleti mantenuti per compatibilità, snapshot o immagini molto vecchie riattivate, trust storici, appliance o implementazioni non Windows e autorizzazioni esplicite a connessioni Netlogon vulnerabili.
Cosa ha cambiato Microsoft
Gli aggiornamenti dell’11 agosto 2020 hanno introdotto protezioni e telemetria per individuare connessioni vulnerabili. Dal 9 febbraio 2021 i Domain Controller aggiornati operano in modalità di enforcement: le connessioni Netlogon devono usare RPC sicuro oppure l’account deve essere autorizzato esplicitamente tramite la policy dedicata.
La vecchia chiave di registro FullSecureChannelProtection non è più necessaria per attivare l’enforcement sui Domain Controller aggiornati: Microsoft specifica che la fase di enforcement lo applica indipendentemente dalla precedente impostazione.
Eventi Windows da controllare
La verifica operativa può partire dal registro Sistema dei Domain Controller, origine NETLOGON:
- Evento 5827: connessione vulnerabile Netlogon negata per un account computer.
- Evento 5828: connessione vulnerabile Netlogon negata per un account trust.
- Evento 5830: connessione vulnerabile consentita perché l’account computer è presente nella policy di eccezione.
- Evento 5831: connessione vulnerabile consentita perché l’account trust è presente nella policy di eccezione.
- Evento 5829: evento tipico della fase iniziale di deployment, precedente all’enforcement del 2021.
La presenza di eventi 5830 o 5831 merita un controllo puntuale: significa che una connessione vulnerabile è stata autorizzata tramite eccezione. L’eccezione deve essere rimossa appena il sistema supporta Secure RPC.
Checklist 2026 per verificare Zerologon
- Verificare che tutti i Domain Controller e RODC siano su versioni supportate e aggiornate.
- Controllare gli eventi NETLOGON 5827, 5828, 5830 e 5831 su tutti i Domain Controller.
- Rivedere la policy “Domain controller: Allow vulnerable Netlogon secure channel connections” ed eliminare eccezioni non indispensabili.
- Identificare appliance, sistemi Samba o implementazioni di terze parti che usano MS-NRPC e validarne il supporto a Secure RPC.
- Controllare trust e sistemi riattivati da snapshot o immagini storiche.
- Integrare il controllo nella revisione generale di hardening e attack path di Active Directory.
| Assessment & Hardening Active Directory Zerologon è una singola CVE. Il rischio reale del dominio dipende da configurazioni, privilegi e percorsi di attacco. Scopri il servizio Active Directory Security Assessment & Hardening per verificare esposizione e remediation prioritarie. |
Zerologon e le vulnerabilità AD moderne
Nel 2026 la maggior parte dei percorsi di compromissione di Active Directory non dipende da Zerologon. Kerberoasting, AS-REP Roasting, ACL pericolose, NTLM relay, AD CS, deleghe Kerberos e account privilegiati non segregati sono problemi più frequenti negli assessment contemporanei.
Approfondimento: 8 Vulnerabilità Active Directory più comuni nel 2026
Formazione tecnica
Per comprendere come vulnerabilità e misconfigurazioni possano trasformarsi in escalation di privilegi e compromissione del dominio, il percorso corretto è studiare l’intera kill chain offensiva e le relative contromisure.
Corso Active Directory Attack & Defense
FAQ Zerologon
Cos’è Zerologon?
Zerologon è la vulnerabilità CVE-2020-1472 del protocollo Netlogon di Microsoft. In ambienti non corretti poteva consentire a un attaccante con accesso di rete al Domain Controller di compromettere il dominio.
Zerologon è ancora un problema nel 2026?
Su Domain Controller supportati e completamente aggiornati la vulnerabilità è mitigata da anni. Il controllo resta utile per server legacy, eccezioni Netlogon, immagini datate e implementazioni di terze parti.
Qual è la patch di Zerologon?
Microsoft ha iniziato a distribuire gli aggiornamenti correttivi l’11 agosto 2020. Dal 9 febbraio 2021 la fase di enforcement richiede Secure RPC per le connessioni del canale Netlogon, salvo eccezioni esplicite.
Quali eventi indicano connessioni Netlogon vulnerabili?
Gli eventi 5827 e 5828 indicano connessioni vulnerabili negate; 5830 e 5831 indicano connessioni vulnerabili consentite tramite eccezione.
Serve ancora FullSecureChannelProtection?
No per attivare l’enforcement sui Domain Controller aggiornati: Microsoft indica che dalla fase del 9 febbraio 2021 l’enforcement viene applicato indipendentemente dalla precedente chiave di registro.