A vulnerabilidade do Windows que rouba credenciais sem interação e já está sendo explorada no mundo real

A Microsoft atualizou esta semana seu aviso sobre uma falha de segurança no Windows Shell - CVE-2026-32202 - e confirmou que já está sendo explorada no mundo real. Embora a pontuação CVSS oficial seja moderada, a importância prática desta falha reside no seu papel dentro de uma cadeia de exploração e na facilidade com que pode converter arquivos aparentemente inofensivos em vetores de roubo de credenciais sem interação do usuário.

Em termos técnicos, a vulnerabilidade é uma A verificação de confiança falhou ao resolver as rotas UNC, o que permite que um acesso automático a um recurso remoto (por exemplo, um arquivo .cpl carregado pelo mecanismo do Windows Shell através de um acesso SMB) desencadeie uma ligação SMB saliente da máquina vítima para um servidor controlado pelo atacante. Essa conexão provoca um intercâmbio NTLM que pode filtrar o hash Net-NTLMv2 do usuário, exploável depois através de relays ou ataques offline. Na prática, esta dinâmica reapareceu após um adesivo parcial aplicado previamente a CVE-2026-21510, e segundo pesquisadores vincula a campanha com o grupo APT28 (Fancy Bear).

O padrão de abuso que descrevem os descubridores combina arquivos LNK (acessos diretos) que ativam a resolução de nomes no espaço de nomes da Shell e, por sua vez, a carga de um DLL/CPL a partir de um recurso UMC remoto. A grande ameaça não foi tanto a correr código remoto direto, mas o roubo de credenciais que facilita movimento lateral e ataques posteriores. Isto explica por que actores com capacidades e objectivos específicos, como o APT28, incorporaram estas técnicas em campanhas destinadas a objectivos na Ucrânia e na União Europeia.

Para organizações e administradores, as implicações operacionais são claras: o adesivo é condição necessária, mas não suficiente. A Microsoft já corrigiu a falha no adesivo mensal mais recente, pelo que a primeira ação obrigatória é aplicar as atualizações de segurança em todos os endpoints e servidores afetados. Além disso, é conveniente validar que os adesivos foram correctamente implantados e rever os indicadores de vulnerabilidade no seu inventário de adesivos. Você pode consultar o guia de segurança da Microsoft para este CVE e atualizações relacionadas na página oficial do Microsoft Security Response Center: Microsoft Security Response Center.

Além do adesivo, existem medidas defensivas que reduzem tanto a probabilidade como o impacto deste tipo de abuso. Entre as mais eficazes estão a restrição do tráfego SMB cessante para a Internet (bloquear TCP/445 a partir de estações de trabalho e servidores que não necessitem de se comunicar externamente), a habilitação e exigência de SMB signing onde aplique, a configuração de políticas de grupo que impeçam a resolução automática de rotas UNC a partir de ambientes inseguros e a desactivação de serviços desnecessários que possam resolver recursos remotos. Também é recomendável aumentar o uso de autenticação forte e multifator para mitigar o valor de hashes eventualmente capturados.

Em matéria de detecção, as equipes de segurança devem prestar atenção a eventos de autenticação NTLM inesperados para domínios externos, tentativas de resolução UNC para hosts fora da rede e execução vinculada a cargas CPL ou acessos diretos LNK. Os produtos EDR/MDR devem bloquear ou alertar sobre a carga dinâmica de DLLs de origens remotas e sobre padrões de atividade típicos de relays NTLM. Os fornecedores e equipamentos internos começaram a publicar análises técnicas; para entender a pesquisa original e seu contexto técnico, você pode consultar a análise e blog de pesquisa da indústria no site de Akamai: Akamai Security Blog.

Finalmente, esta série de falhas destaca uma lição recorrente: as mitigações parciais podem deixar vetores residuais que atores sofisticados encadeiam com outras vulnerabilidades. A defesa moderna exige adesivos completos, segmentação de rede, endurecimento de protocolos de autenticação e monitoramento contínuo. Audite seus controles de saída SMB, valide a configuração de SmartScreen e outras protecções de origem, e trate os hashes NTLM como credenciais de alto risco: asuma que, se exposto, exigirão rotação e medidas compensatórias imediatas.