Windows 11 rinforza i file .bat e .cmd: le novità di sicurezza che Microsoft sta testando

La gestione dei file batch rappresenta ancora oggi un pilastro nelle infrastrutture Windows aziendali, dove script CMD e automazioni legacy restano centrali per la distribuzione di software, la configurazione di sistemi e le attività di manutenzione. Dalle prime versioni di Windows NT fino a Windows 11, l’esecuzione di script in ambienti enterprise ha dovuto bilanciare flessibilità e sicurezza, soprattutto in contesti con criteri di integrità del codice attivi. Con le nuove build di Windows 11, Microsoft introduce un miglioramento mirato a rafforzare la sicurezza e ottimizzare le prestazioni durante l’esecuzione dei file batch.

Le modifiche sono state distribuite nelle build di anteprima Windows 11 (build 26220.7934) con l’aggiornamento KB5077242 per il canale Beta e KB5077243 (build 26300.7939) per il canale Dev e si inseriscono in un percorso evolutivo che mira a ridurre le superfici di attacco nei flussi automatizzati, mantenendo al contempo la compatibilità con gli ambienti di gestione tradizionali. L’obiettivo dichiarato è garantire maggiore affidabilità nei contesti in cui i workflow basati su script sono eseguiti con criteri di sicurezza avanzati.

Modalità sicura per i file batch e protezione in esecuzione

La novità principale consiste nell’introduzione di una modalità di esecuzione sicura per i file batch, attivabile dagli amministratori tramite il valore di registro LockBatchFilesWhenInUse.

Una volta abilitata, l’impostazione impedisce la modifica del file batch durante la sua esecuzione, mitigando un vettore di attacco noto in cui uno script può essere alterato mentre è in corso l’elaborazione, introducendo codice malevolo o istruzioni non previste.

Basta digitare il comando seguente per attivare la nuova policy (per la disattivazione, basta sostituire 0 a 1):

reg add HKLM\Software\Microsoft\Command Processor /v LockBatchFilesWhenInUse /t REG_DWORD /d 1 /f

La stessa modalità può essere abilitata anche tramite uso dei file manifest utilizzando il controllo LockBatchFilesWhenInUse, offrendo ai responsabili delle policy un meccanismo aggiuntivo per integrare questa protezione nei flussi di distribuzione software.

L’approccio si integra con le politiche di Application Control for Business, consentendo una gestione coerente delle regole di sicurezza a livello enterprise.

Impatto su performance e integrità del codice

Uno degli aspetti tecnici più rilevanti riguarda il comportamento della validazione delle firme digitali quando è attiva l’integrità del codice. Nelle configurazioni standard, ogni singola istruzione contenuta in un file batch può richiedere una verifica di firma, con un impatto significativo sulle prestazioni, soprattutto in script complessi.

Con la nuova modalità, la validazione è eseguita una sola volta all’avvio del file batch, riducendo drasticamente l’overhead.

Il cambiamento migliora la velocità di esecuzione e riduce il carico sulle infrastrutture di verifica, come i servizi di certificazione e le politiche di controllo dell’esecuzione. In ambienti con centinaia di script automatizzati, il guadagno in termini di tempi di elaborazione può risultare significativo, senza compromettere la sicurezza complessiva del sistema.

Scenari operativi e limiti della nuova protezione

La protezione dei file batch in uso è particolarmente rilevante nei contesti in cui gli script sono eseguiti da directory condivise o da percorsi di rete, dove il rischio di modifiche concorrenti è più elevato. Impedire la modifica durante l’esecuzione elimina la possibilità di attacchi basati su race condition o su sostituzioni del contenuto in tempo reale.

Resta tuttavia necessario considerare la compatibilità con alcune procedure legacy che prevedono la modifica dinamica degli script durante l’esecuzione. In tali scenari, l’abilitazione della modalità sicura potrebbe richiedere una revisione dei flussi esistenti.

La protezione introdotta da Microsoft non sostituisce le pratiche di hardening del sistema, come la limitazione dei permessi NTFS o l’uso di percorsi protetti.