Microsoft ha deciso di allungare la lista degli allegati bloccati in Outlook con due estensioni che finora erano passate sotto il radar: .msix e .msixbundle. Dal rollout previsto tra inizio e metà novembre 2026, gli utenti di New Outlook per Windows e Outlook sul Web in Exchange Online non potranno più scaricare o aprire allegati con queste estensioni per impostazione predefinita. La motivazione è semplice: un pacchetto .msix modificato ad arte, se installato senza le dovute verifiche, può compromettere un dispositivo.

L'azienda riconosce che questi formati sono "usati raramente", ma ammette anche che esistono ragioni legittime per inviarli via email. Per questo gli amministratori possono aggiungere le estensioni alla proprietà AllowedFileTypes della OwaMailboxPolicy pertinente prima del rollout. Chi gestisce ambienti Exchange Online deve quindi decidere se mantenere il blocco o creare eccezioni per specifici mittenti o scenari.

La novità arriva dopo che il sistema di pacchettizzazione delle applicazioni Windows era finito sotto accusa: a dicembre 2023 Microsoft aveva disabilitato per impostazione predefinita il gestore del protocollo ms-appinstaller, sfruttato in precedenza per distribuire malware. Il blocco degli allegati aggiunge un ulteriore livello di protezione, a meno che gli amministratori non lo disattivino esplicitamente. Oltre ai nuovi formati, Outlook sul Web già blocca file .py di Python, .ps1 di PowerShell e .cab.

Il dato più interessante non è la lista in sé, ma la lentezza con cui .msix e .msixbundle sono stati aggiunti. Questi formati esistono da anni e rappresentano un vettore di infezione noto. Il ritardo suggerisce che i default di sicurezza delle applicazioni enterprise si evolvono più lentamente del panorama delle minacce. Per chi gestisce infrastrutture self-hosted, il messaggio è strutturale: non si può delegare tutta la protezione ai vendor, perché i controlli arrivano spesso in ritardo. Un attaccante che compromette la postazione di un amministratore tramite un allegato malevolo può poi muoversi lateralmente verso server che ospitano modelli, dati di training o pipeline di inference. In ambienti on-premise, dove la sovranità dei dati è un requisito, la superficie d'attacco include anche la posta elettronica aziendale.

C'è poi un secondo effetto da considerare: rinominare l'estensione di un allegato o inviare un link di download può aggirare la restrizione, ma non rende il pacchetto innocuo. Convincere qualcuno a scaricare e installare un eseguibile rimane una strada percorribile per i malintenzionati, anche con le protezioni aggiuntive di Windows. Il blocco riduce il rischio automatico, ma non elimina la necessità di educare gli utenti e di segmentare le reti.

La scelta di Microsoft segnala una direzione più ampia: i default permissivi stanno lasciando spazio a impostazioni che negano l'esecuzione di contenuti non richiesti. Per le organizzazioni che valutano deployment on-premise, questo è un tassello della postura di sicurezza complessiva: i framework analitici disponibili su /llm-onpremise aiutano a valutare i trade-off tra controllo, TCO e superficie d'attacco, ma la decisione resta legata al contesto specifico.

La domanda aperta è quanto tempo passerà prima che gli attaccanti si spostino su altri formati altrettanto pericolosi ma non ancora bloccati. Nel frattempo, il blocco di .msix e .msixbundle chiude una falla nota, anche se con anni di ritardo.