Punti chiave
- SMB1 (SMBv1/CIFS) è obsoleto e contiene vulnerabilità non corrette. Microsoft lo ha deprecato nel 2014 e lo ha rimosso per impostazione predefinita dalle versioni moderne di Windows. Per questo protocollo non vengono più rilasciate patch di sicurezza.
- Verifica lo stato di SMB1 con PowerShell tramite:
- Get-SmbServerConfiguration | Select EnableSMB1Protocol
- Get-WindowsOptionalFeature -Online -FeatureName “SMB*”
- Metodi per disattivare SMB1:
- Impostazioni di Windows (GUI) – ideale per i singoli utenti.
- Script PowerShell – ideale per ambienti enterprise e gestione da remoto.
- Criteri di gruppo (GPMC) – ideale per MSP o amministratori di dominio.
- Quando attivare SMB1: è l’ultima opzione per dispositivi NAS (Network Attached Storage) legacy (precedenti al 2016), stampanti e scanner datati (precedenti al 2015), sistemi industriali o medicali embedded oppure applicazioni per XP/Server 2003.
Il protocollo Server Message Block (SMB) è un componente fondamentale del networking di Windows e consente la condivisione sicura di file e stampanti tra i dispositivi di rete. Il protocollo SMB1, però, non offre lo stesso livello di rigore delle versioni più recenti.
SMB1 (chiamato anche SMBv1 o CIFS) è la versione originale del protocollo, introdotta per la prima volta con MS-DOS negli anni ’80. Non dispone della crittografia, dei miglioramenti nell’autenticazione e dei vantaggi prestazionali presenti in SMB2 e SMB3.
Questa guida ti accompagna nella disattivazione di SMB1 in Windows e ti spiega come attivare o disattivare il protocollo di condivisione file SMB1 per i dispositivi legacy. Si tratta di passaggi utili ai team IT e agli MSP per ridurre le vulnerabilità all’interno della rete condivisa.
💡 Se preferisci imparare con il supporto delle immagini, apprezzerai il nostro video su Come attivare o disattivare il protocollo di condivisione file SMB1 in Windows.
Individua e disattiva SMB1 e altre vulnerabilità prima che diventino vettori di attacco
Come verificare se SMB1 è attivo in Windows
Il modo più rapido per verificare se SMB1 è attivo sul tuo sistema è usare PowerShell.
- Usa la Ricerca 🔎 per aprire il Terminale → PowerShell → Esegui come amministratore.
- Per verificare lo stato del protocollo SMB1:
Get-SmbServerConfiguration | Select EnableSMB1Protocol
- Per visualizzare tutte le versioni di SMB installate:
Get-WindowsOptionalFeature -Online -FeatureName “SMB*”
💡 Suggerimento: in alternativa puoi aprire il Pannello di controllo → Programmi → Programmi e funzionalità. Fai clic su “Attivazione o disattivazione delle funzionalità di Windows” e cerca nell’elenco “Supporto per la condivisione file SMB 1.0/CIFS” per vedere se è attivo.
Metodi per configurare SMB1 in Windows 11
Usa la tabella per scegliere e raggiungere rapidamente la procedura di attivazione che preferisci.
📌 Prerequisiti:
- Verifica se SMB1 è attivo.
- È necessario riavviare il sistema affinché le modifiche abbiano effetto.
- Alcuni metodi possono richiedere l’accesso al sistema e alla rete.
📌 Casi d’uso:
- Disattivare SMB1 per semplificare i protocolli di rete.
- Cambiare lo stato di SMB1 per impedire ai sistemi di usare il protocollo legacy.
👉 Promemoria: alcuni passaggi possono variare in base alle impostazioni predefinite del sistema o a quelle attive.
Fai clic per scegliere un metodo | 💻 Ideale per i singoli utenti | 💻💻💻 Ideale per ambienti enterprise |
| Metodo 1: impostazioni di Windows | ✓ | |
| Metodo 2: script PowerShell | ✓ | |
| Metodo 3: criteri di gruppo | ✓ |
💡 Suggerimento: consulta la sezione Aspetti a cui prestare attenzione per consigli su come gestire i rischi potenziali.
Metodo 1: attivare o disattivare SMB1 dalle impostazioni
Questo metodo basato su interfaccia grafica è consigliato per l’attivazione in autonomia e tramite accesso remoto.
- Usa la Ricerca 🔎 per aprire il Pannello di controllo.
- Vai su Programmi → Programmi e funzionalità → Attivazione o disattivazione delle funzionalità di Windows.
- Individua e gestisci Supporto per la condivisione file SMB 1.0/CIFS in base alle tue preferenze.
- Fai clic su OK per applicare le modifiche
Metodo 2: come attivare o disattivare SMB1 in Windows 11 con PowerShell
Esegui PowerShell come amministratore e usa i comandi seguenti:
Disattivare il client SMB1: Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
Disattivare il server SMB1: Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force
Attivare il client SMB1: Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
Attivare il server SMB1: Set-SmbServerConfiguration -EnableSMB1Protocol $true -Force
💡 Nota: in Windows 11, SMB1 non è installato per impostazione predefinita in nessuna edizione dopo un’installazione pulita. Se stai usando un’installazione pulita di Windows 11, potrebbe non essere necessario alcun intervento. Per verificare lo stato attuale di SMB1 sul tuo sistema, esegui Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol e controlla il campo State.
Metodo 3: come disattivare SMB1 in Windows 11 con i criteri di gruppo
La Console Gestione Criteri di gruppo (GPMC) è disponibile nelle edizioni Windows Pro, Enterprise ed Education, ma non è installata per impostazione predefinita. Questo metodo è pensato per gli amministratori di sistema e gli MSP.
- Premi Win + R, digita gpmc.msc e fai clic su OK per aprire la GPMC.
- Crea o modifica un GPO collegato alla UO (Organizational Unit) di destinazione.
- Vai su Configurazione del computer → Modelli amministrativi → MS Network Client → Microsoft Network Client.
- Gestisci Configure SMB v1 client driver in base alle tue preferenze.
- Poi vai su Configurazione del computer → Modelli amministrativi → MS Network Server → Microsoft Network Server.
- Gestisci Configure SMB v1 server in base alle tue preferenze.
Puoi eseguire il comando gpupdate /force per applicare subito le modifiche. In caso contrario, le nuove impostazioni verranno applicate al successivo intervallo di aggiornamento.
👉 Guarda questa dimostrazione video di GPUpdate come riferimento visivo.
Dopo aver riavviato il dispositivo, verifica che SMB1 sia disattivato con il comandoGet-SmbServerConfiguration | Select EnableSMB1Protocol. Se SMB1 è stato disattivato correttamente, il risultato sarà “False”.
Quando attivare il protocollo di condivisione file SMB1
Attivare SMB1 introduce rischi di sicurezza rilevanti nella tua rete. È consigliabile usare questo protocollo di condivisione solo come ultima risorsa e con piena consapevolezza delle vulnerabilità. Detto questo, può rendersi necessario per garantire la compatibilità con altre applicazioni o risorse legacy in Windows.
Se devi comunque usare SMB1, valuta i passaggi seguenti per isolare il rischio e correre ai ripari.
- Colloca i sistemi legacy in segmenti di rete isolati
- Applica regole firewall rigide per limitare il traffico SMB1
- Disattiva SMB1 su tutti i sistemi esposti a internet
- Usa le VLAN per separare il traffico SMB1 dalla rete principale
- Valuta alternative a livello applicativo o soluzioni middleware per evitare del tutto SMB1
Oltre a esporre il sistema a exploit noti e CVE, i sistemi che usano SMB1 possono violare i requisiti di conformità (GDPR, HIPAA, PCI) e comportare sanzioni. Mantenerlo attivo è inoltre estremamente rischioso, perché per SMB1 non vengono più rilasciate patch di sicurezza.
💡 Nota: dal 2022 Microsoft ha interrotto il supporto per SMB1.
⚠️ Aspetti a cui prestare attenzione quando attivi o disattivi SMB1
Di seguito trovi i rischi più comuni, le possibili conseguenze e alcune soluzioni pratiche per rimediare o prevenire i problemi quando modifichi le impostazioni di SMB1.
| Rischi | Potenziali conseguenze | Soluzioni |
| Applicazioni legacy sviluppate per ambienti Windows XP/Server 2003 | Errori applicativi, crash o impossibilità di accedere alle condivisioni di file | ➤ Usa la containerizzazione o la virtualizzazione per isolare l’uso di SMB1 ➤ Elabora piani di modernizzazione o sostituzione per una migrazione a lungo termine |
| Reti non segmentate che usano ancora SMB1 | Il malware può diffondersi lateralmente nella rete se un sistema viene compromesso | ➤ Segmenta le reti con VLAN e firewall ➤ Limita il traffico SMB1 esclusivamente a zone specifiche e controllate |
| Sistemi di controllo industriale, terminali POS e apparecchiature medicali con OS embedded datati | I flussi di lavoro business-critical possono interrompersi, causando tempi di inattività o rischi per la sicurezza | ➤ Se non è possibile aggiornarli, isola questi sistemi su reti segmentate con regole firewall/ACL rigide ➤ Valuta middleware o virtualizzazione per gestire le dipendenze da SMB1. |
Inoltre, valuta di imporre l’uso dei protocolli SMB2 o SMB3 ogni volta che è possibile, configurando le impostazioni minime di sicurezza SMB tramite i criteri di gruppo:
- Premi Win + R, digita gpmc.msc e fai clic su OK per aprire la GPMC.
- Vai su Configurazione del computer → Modelli amministrativi → Rete → Workstation Lanman.
- Imposta Abilita accessi guest non sicuri su Disabilitato.
Poi configura il registro di sistema per imporre la versione minima di SMB:
- Premi Win + R, digita regedit e fai clic su OK per aprire l’Editor del Registro di sistema.
- Vai al percorso seguente, oppure copialo e incollalo nella barra degli indirizzi del Registro. Se il percorso è incompleto, crea la chiave necessaria.
HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters
- Crea o modifica il valore DWORD (32 bit) SMB2.
- Aprilo e imposta Dati valore su 1 per richiedere SMB2 o versioni successive su tutta la rete.
Esegui regolarmente audit su tutta la rete per individuare i sistemi che usano ancora il protocollo SMB1. Puoi usare, ad esempio, strumenti come Wireshark o il comando nativo di Windows netsh per acquisire e analizzare il traffico di rete alla ricerca dell’uso del protocollo SMB.
Individua i protocolli legacy e intervieni per proteggere il tuo ambiente dagli attacchi informatici con NinjaOne.
Best practice di sicurezza per la gestione del protocollo SMB1
Una sicurezza IT solida richiede un approccio proattivo alla gestione dei protocolli legacy come SMB1. Anche se la rimozione completa può risultare complessa per le organizzazioni che hanno sistemi datati, la semplicità d’uso e i vantaggi in termini di sicurezza superano di gran lunga i problemi di compatibilità.
Seguendo i passaggi descritti in questa guida puoi disattivare rapidamente SMB1 in Windows e adottare misure di isolamento adeguate dove necessario. Intervenire non solo protegge i tuoi sistemi da vulnerabilità ed exploit comuni, ma migliora anche le prestazioni e prepara la tua infrastruttura alle future esigenze di sicurezza e ai requisiti di conformità.
