Lezione di storia: che cos’è un file .wmf? Perché le clip art appaiono come un riquadro vuoto

Che cos’è un file .wmf?

Un file .wmf è un metafile di Windows: un formato a 16 bit che memorizza una sequenza di record di comandi di disegno della GDI di Windows. Un visualizzatore non «decodifica una foto» come fa con un JPG: riproduce quei comandi in un contesto di dispositivo, un po’ come l’RFC 7903 paragona la riproduzione dei metafile all’esecuzione di PostScript per produrre un output. Il WMF può contenere insieme grafica vettoriale e raster.

Microsoft pubblicò il WMF con Windows 3.0; l’RFC 7903 colloca l’uscita del formato nel 1990. La prima documentazione pubblica compare nell’SDK di Windows 3.1 (1992), sempre secondo quell’RFC. Per un’intera generazione di clip art, loghi e diagrammi di Office e Windows, oltre ad Appunti, stampa e incorporamento nei documenti, il WMF è stato il veicolo vettoriale nativo. L’RFC 7903 osserva anche che il WMF è citato in modo non normativo nell’OOXML, uno dei motivi per cui l’interoperabilità conta ancora.

WMF ed EMF (ed EMF+)

L’EMF (Enhanced Metafile) arrivò con Windows NT 3.1 nel 1992. È a 32 bit, basato su Win32, e progettato per l’indipendenza dal dispositivo come successore del WMF, più dipendente dal dispositivo. Coordinate e struttura dei record crescono con Win32; il modello di riproduzione resta «rigiocare la GDI», ma in un contenitore più pulito e più adatto alle diverse risoluzioni.

L’EMF+ arrivò con Windows XP / GDI+: record GDI+ incorporati nei record di commento EMF. La documentazione GDI+ di Microsoft descrive le varianti EMF+ Only ed EMF+ Dual. Regola di registrazione importante: GDI+ può visualizzare WMF, EMF ed EMF+, ma può registrare solo EMF / EMF+, non WMF. Fissiamo la sequenza dei nomi: WMF (classico a 16 bit) → EMF (avanzato a 32 bit) → EMF+ (estensioni GDI+).

Perché le vecchie clip art appaiono come un riquadro vuoto?

In un’app moderna un riquadro vuoto di solito indica una riproduzione fallita o rifiutata, non un file vuoto. A fine dicembre 2005, la CVE-2005-4560 descriveva file WMF manipolati che usavano SETABORTPROC tramite META_ESCAPE / il percorso GDI Escape per eseguire codice: la vulnerabilità Metafile Image Code Execution (MICE). Microsoft rilasciò MS06-001 il 5 gennaio 2006. Un post del blog di MSRC spiegava l’origine dal callback di interruzione della stampa SetAbortProc; Internet Explorer saltava META_ESCAPE, ma un percorso IFRAME → shell → Visualizzatore immagini e fax di Windows era un vettore noto. L’RFC 7903 osserva che MICE vinse nel 2007 i Pwnie award per «Mass 0wnage» e «Breaking the Internet».

L’RFC 7903 afferma anche che l’EMF non era colpito da quella specifica vulnerabilità MICE. Tuttavia, dopo il 2005–2006, molti prodotti hanno irrigidito, isolato in sandbox o semplicemente abbandonato le pipeline dei metafile GDI. Nel 2026 un riquadro vuoto significa spesso criteri di sicurezza più riproduzione mancante, non «la clip art è sparita».

Come funzionano i byte (intestazioni WMF posizionabile ed EMF)

Molti file .wmf iniziano con un’intestazione facoltativa Aldus Placeable Metafile: 22 byte prima del META_HEADER standard. La chiave deve essere 0x9AC6CDD7, byte little-endian D7 CD C6 9A. L’intestazione posizionabile contiene anche un rettangolo di delimitazione, un campo inch (unità per pollice) e un checksum. La classica PlayMetaFile di Windows non accetta l’intestazione posizionabile; togli i primi 22 byte, poi riproduci il WMF rimanente. I .wmf posizionabili e non posizionabili sono entrambi varianti legittime: tienilo presente quando un dump esadecimale «non corrisponde all’esempio dell’SDK».

Per l’EMF, l’RFC 7903 descrive l’EMR_HEADER iniziale: Type è il DWORD little-endian 0x00000001 e Size dovrebbe essere almeno 88. Dopo l’intestazione vengono i record del metafile avanzato, interpretati da un percorso di riproduzione Win32. Le specifiche contano per l’interoperabilità: Microsoft ha pubblicato [MS-WMF], [MS-EMF] e [MS-EMF+] nell’ambito dell’Open Specification Promise (RFC 7903: dal 2007). I tipi di media image/wmf e image/emf sono registrati nell’RFC 7903 (settembre 2016).

Perché i file datati .wmf ed .emf restano ancora sui dischi nel 2026

Le vecchie raccolte di clip art di Office e Publisher, i loghi e i diagrammi usano ancora questi formati. I file vengono estratti da documenti datati o restano accanto a loro: raccoglitori, kit di brand e cartelle di progetto dell’epoca dei metafile. L’enorme quantità di clip art già distribuita è il motivo per cui WMF / EMF continuano a spuntare fuori anche quando le app di tutti i giorni li mostrano vuoti.

Non ti serve un kit di strumenti forensi specializzato solo per rivedere l’illustrazione. Per la guida pratica, vedi Quando le vecchie clip art WMF / EMF non si vedono. Legacy File Converter converte i .wmf / .emf in PNG, JPG o PDF offline su questo PC.