By Brock McKenna on ottobre 8, 2026
I driver di stampa costituiscono una reale superficie di attacco. Secondo Microsoft, i bug legati alla stampa hanno rappresentato il 9% dei casi segnalati al Microsoft Security Response Center in un periodo di tre anni, e l'analisi di Microsoft ha rilevato che la modalità Windows Protected Print (WPP) avrebbe potuto mitigare più della metà delle vulnerabilità legate alla stampa esaminate. Passare a un'architettura di stampa più sicura e indipendente dai driver è quindi una scelta sensata.
Ma cosa significa questo per le aziende che utilizzano Azure Virtual Desktop (AVD), Citrix o Remote Desktop Services (RDS)?
Gli ambienti desktop virtuali si sono a lungo affidati a diversi approcci per connettere le sessioni remote alle stampanti fisiche. Alcuni richiedono driver specifici del produttore sugli host di sessione, mentre altri si basano sul reindirizzamento delle stampanti, su tecnologie di stampa universale o su servizi cloud. WPP non influisce su tutti questi approcci allo stesso modo, quindi è importante comprenderne le dipendenze prima di apportare modifiche.
Perché Windows Protected Print rappresenta una sfida per i desktop virtuali?
La sfida fondamentale della stampa in VDI è che le applicazioni vengono eseguite all'interno di sessioni remote, mentre le stampanti si trovano spesso altrove. Le architetture di stampa tradizionali affrontano questo problema in diversi modi:
Il reindirizzamento delle stampanti rende disponibili le stampanti collegate localmente all'interno della sessione. Remote Desktop Easy Print di Microsoft, ad esempio, evita la necessità di installare driver specifici del produttore sull'host di sessione. Tuttavia, i nomi delle stampanti reindirizzate possono includere suffissi specifici della sessione, con possibili problemi per le applicazioni che si aspettano nomi di stampanti fissi.
Le tecnologie di stampa universale, come Citrix Universal Print Driver e Windows Easy Print, riducono la necessità di installare driver dei singoli produttori sugli host di sessione. A seconda della configurazione, possono introdurre altre considerazioni, come il consumo di banda e la compatibilità con funzionalità specializzate delle stampanti.
La stampa diretta in rete consente agli host di sessione di inviare i processi di stampa alle stampanti di rete. Questa soluzione può funzionare bene, ma potrebbe richiedere driver del produttore e una connettività affidabile tra gli host di sessione e le stampanti.
Per un'analisi più approfondita di queste architetture, consultate Come funziona la stampa in AVD, Citrix e RDS e perché spesso si verificano problemi.
La distinzione importante è che non tutti i metodi di stampa VDI richiedono driver di terze parti sull'host di sessione. La compatibilità con WPP dipende dai componenti coinvolti.
Cosa cambia WPP per un host di sessione?
La modalità Windows Protected Print, introdotta con Windows 11 24H2 e supportata in Windows Server 2025, limita la stampa all'architettura IPP integrata di Microsoft. I driver di stampa di terze parti non possono essere utilizzati quando WPP è abilitato.
Per gli amministratori VDI, questo apre tre punti da considerare.
Driver presenti nelle immagini golden. Se un'immagine AVD, Citrix o RDS include driver di stampa forniti dal produttore, il WPP ne impedisce l'utilizzo. L'attivazione del WPP rimuove inoltre le stampanti installate che dipendono da driver di terze parti.
Reindirizzamento delle stampanti. Non tutte le stampanti reindirizzate richiedono i driver del produttore sull'host di sessione. Tuttavia, gli amministratori dovrebbero verificare che la loro specifica configurazione di reindirizzamento e i componenti di stampa funzionino con il WPP attivato.
Stampanti datate e specializzate. I dispositivi che dipendono da driver legacy forniti dal produttore potrebbero non essere più accessibili tramite le installazioni standard delle stampanti su Windows. Le stampanti per etichette, le MFP più datate e altro hardware specializzato richiedono un'attenzione particolare. Alcune di queste periferiche potrebbero rimanere utilizzabili grazie ad architetture di stampa alternative.
Al momento il WPP non è obbligatorio e Microsoft non ha annunciato quando diventerà l'impostazione predefinita. Tuttavia, la transizione più ampia verso l'abbandono dei driver di stampa legacy è già in corso:
- 15 gennaio 2026: Microsoft ha interrotto l'accettazione di routine di nuovi driver di stampa di terze parti per la pubblicazione tramite Windows Update su Windows 11, Windows Server 2025 e versioni successive, con eccezioni valutate caso per caso.
- 1 luglio 2026: Windows ha iniziato a dare priorità al driver di classe IPP integrato nella selezione dei driver di stampa.
- 1 luglio 2027: Microsoft interromperà l'accettazione di aggiornamenti non relativi alla sicurezza per i driver di stampa di terze parti tramite Windows Update.
I driver di stampa di terze parti esistenti resteranno disponibili per l'installazione tramite Windows Update e i produttori potranno continuare a fornire i driver tramite pacchetti di installazione separati. La roadmap di Microsoft non implica che i driver di stampa legacy smetteranno improvvisamente di funzionare a luglio 2027.
Tuttavia, le organizzazioni che mantengono immagini golden VDI dovrebbero valutare per quanto tempo intendono continuare a dipendere da driver specifici del produttore. La roadmap ufficiale di Microsoft indica chiaramente la direzione.
Prima di attivare il WPP: lista di controllo per la compatibilità VDI
Prima di attivare il WPP in un ambiente AVD, Citrix o RDS, i team IT dovrebbero stabilire dove risiedono effettivamente le loro dipendenze di stampa.
Partite dai driver. I driver specifici del produttore sono installati nelle immagini golden, aggiunti dinamicamente agli host di sessione o utilizzati solo sui dispositivi endpoint? Il WPP influisce sul sistema Windows su cui è attivato, quindi la distinzione è importante.
Successivamente, identificate quali metodi di stampa e applicazioni dipendono da tali driver. Prestate particolare attenzione alle stampanti specializzate, alle funzionalità specifiche del produttore e alle applicazioni configurate per utilizzare nomi di stampante fissi.
Infine, testate WPP su un host di sessione rappresentativo prima di modificare le immagini di produzione. Verificate la disponibilità delle stampanti, la compatibilità delle applicazioni e i flussi di lavoro essenziali. Microsoft conferma che l'abilitazione di WPP rimuove le stampanti che utilizzano driver di terze parti e che la sua successiva disabilitazione non ripristina automaticamente tali configurazioni.
L'obiettivo non è necessariamente sostituire immediatamente la vostra infrastruttura di stampa. Si tratta di identificare le dipendenze prima che diventino problemi di compatibilità.
Stampa cloud: spostare i driver di stampa fuori dalla sessione VDI
Un modo per ridurre l'impatto di WPP è spostare il rendering specifico della stampante al di fuori del desktop virtuale.
Con ezeep, Cloud rendering elabora i processi di stampa anziché affidarsi ai driver di rendering specifici del produttore installati sugli host di sessione. I processi elaborati vengono consegnati alle stampanti tramite ezeep Hub o un apposito Connector software, a seconda della distribuzione.
Questo riduce la necessità di mantenere i driver specifici del produttore nelle immagini golden ed evita di dipendere dalla redirezione convenzionale delle stampanti RDP o ICA per la stampa gestita da ezeep.
ezeep supporta anche la modalità Windows Protected Print. Secondo la documentazione ufficiale di ezeep, l'ezeep Print App for Windows (maggio 2026 o successiva) crea code di stampa IPP native utilizzando il driver di classe IPP integrato di Microsoft. Il rendering specifico della stampante avviene nel cloud, consentendo di utilizzare le stampanti gestite da ezeep senza disabilitare WPP.
Questo approccio può anche aiutare le organizzazioni a continuare a utilizzare stampanti più datate e non Mopria, purché tali dispositivi siano supportati e collegati tramite una configurazione ezeep adeguata.
Per gli ambienti VDI, i vantaggi pratici includono:
- Nessun driver di rendering specifico del produttore richiesto sugli host di sessione per le stampanti supportate e gestite da ezeep.
- Riduzione della manutenzione dei driver e dei potenziali conflitti di compatibilità nelle immagini golden.
- Stampa senza ricorrere al tradizionale reindirizzamento delle stampanti client.
- Gestione e assegnazione centralizzata delle stampanti.
Gli amministratori dovrebbero comunque verificare la compatibilità delle applicazioni e il comportamento multi-sessione prima di abilitare WPP sugli host di produzione.
Il problema nascosto della stampa VDI: nomi fissi per le stampanti
Prima di modificare le configurazioni delle stampanti, vale la pena porsi una domanda: quali applicazioni nel vostro ambiente dipendono da un nome di stampante specifico?
Le applicazioni gestionali, in particolare gli ERP, sono spesso configurate per stampare su code con nomi specifici. Negli ambienti multi-sessione pooled, i nomi delle stampanti reindirizzate possono includere suffissi legati alla sessione, impedendo potenzialmente alle applicazioni di trovare la stampante prevista.
La ezeep Print App for Services supporta la stampa automatizzata da applicazioni Windows, inclusi i sistemi ERP. Può essere utilizzata come parte di una configurazione di stampa che evita il reindirizzamento delle stampanti specifico per sessione. Le applicazioni che richiedono nomi di coda fissi dovrebbero essere testate con la configurazione scelta.
Prima della migrazione, identificate quali applicazioni dipendono da nomi di stampante fissi e come verranno mantenute tali dipendenze. Se la risposta è «diverse applicazioni, ma nessuno sa esattamente quali», questa è di per sé una scoperta importante che dovrebbe influenzare la sequenza della migrazione.
Preparare il vostro ambiente VDI per Windows Protected Print
Windows Protected Print non significa che ogni configurazione di stampa VDI esistente debba essere sostituita. Tuttavia, la decisione di Microsoft di abbandonare i driver di stampa di terze parti obsoleti rende fondamentale capire da quali componenti dipende il vostro ambiente.
Per le aziende che gestiscono complesse golden image e configurazioni di stampanti, il cloud rendering offre un modo per ridurre queste dipendenze e prepararsi a un'architettura di stampa Windows più sicura.
Il reindirizzamento delle stampanti AVD non funziona? Correzioni e soluzioni
Le stampanti per etichette smetteranno di funzionare in Windows Protected Print Mode?
