Alerta de segurança: CVE-2026-21509 ameaça o Microsoft Office e exige adesivos de emergência

A Microsoft publicou esta semana atualizações de segurança fora do calendário para corrigir uma vulnerabilidade de gravidade alta no Microsoft Office que já está sendo explorada em ataques. A falha, registrada como CVE-2026-21509, afeta várias edições do Office, entre elas Microsoft 365 Apps for Enterprise e as versões LTSC mais recentes, e obriga a agir rapidamente a administradores e usuários por igual. Para a descrição oficial da vulnerabilidade, consultar o guia da Microsoft: MSRC – CVE-2026-21509, e para um resumo independente do registro de vulnerabilidades está disponível a ficha no NVD: NVD – CVE-2026-21509.

A empresa define o erro como uma omissão de uma medida de segurança O Office permite que um atacante local, não autenticado, evite protecções concebidas para mitigar riscos associados a controlos COM/OLE vulneráveis. Na prática, o vetor de exploração observado requer que o atacante convença a vítima para abrir um arquivo malicioso do Office; a Microsoft indica que o painel de antevisão não é o ponto de entrada, mas houve ataques de baixa complexidade que requerem interação do usuário.

A Microsoft já lançou adesivos de emergência para várias edições administradas pelo seu serviço na nuvem e para as versões LTSC recentes, mas reconheceu que Ainda não há atualizações disponíveis para Office 2016 e Office 2019 e trabalhará para publicá-las o mais rapidamente possível. Entretanto, a empresa propôs uma medida de mitigação baseada no Registro do Windows que pode reduzir a possibilidade de exploração Nesses ambientes, embora as instruções oficiais sejam, para muitos administradores, confusas.

Se você trabalha com o Office 2016 ou 2019 e não pode aplicar um adesivo imediato, a Microsoft recomenda fechar todas as aplicações do Office e realizar uma cópia de segurança do Registro antes de qualquer modificação – editar o registro incorretamente pode deixar o sistema instável –; a Microsoft explica como fazê-lo em seu guia: Como fazer backup e restaurar o Registo do Windows. A mitigação proposta consiste em criar ou verificar a existência de um ramo específico sob a chave Common do Office, adicionar a subclave chamada {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B} dentro do COM Compatibility e, nessa subclave, criar um valor DWORD (32 bits) chamado Compatibility Flags com os dados 400. Após a gravação das alterações, a proteção entraria em vigor ao reiniciar qualquer aplicação do Office.

Repetir em palavras simples: fechar todas as aplicações do Office, faça cópia de segurança do Registo, abra o Editor do Registo (regedit), navegue até a localização correspondente à sua instalação (a rota varia se tiver Office de 32 ou 64 bits e se for Click-to-Run), crie a chave COM Compatibility sob Common se não existir, adicione a chave com o identificador indicado e dentro dela crie o DWORD Compatibility Flags com o valor 400. Se você não se sentir confortável realizando mudanças no Registro, o responsável é esperar pelo adesivo oficial ou pedir assistência técnica.

A Microsoft não publicou detalhes técnicos sobre quem descobriu a vulnerabilidade nem sobre a forma precisa em que se explora na natureza, e limitou a informação destinada a evitar que se multipliquem ataques oportunistas. Isto aumenta a importância da implementação de atualizações disponíveis e de medidas preventivas adicionais: evitar abrir documentos de remetentes desconhecidos, desativar macros quando não forem necessários, e exigir controlos de segurança nos canais de correio e mensagens que chegam a usuários finais.

O contexto recente é relevante: no Patch Tuesday de janeiro de 2026 Microsoft remendou mais de cem falhas, incluindo vários dias zero ativos que estavam sendo explorados. Além disso, nas últimas semanas, a empresa teve de publicar outros adesivos fora do calendário regular para corrigir problemas decorrentes dessas actualizações, o que sublinha o dinâmico e crítico do panorama atual de segurança. Para seguir as notas de segurança e atualizações, você pode consultar o centro de atualizações da Microsoft: Microsoft Security Update Guide.

Em resumo: se a sua organização usar o Microsoft 365 Apps for Enterprise ou as versões LTSC que já receberam o adesivo, aplique a atualização quanto antes. Se depende do Office 2016 ou 2019, faça uma cópia de segurança e, se decidir aplicar a mitigação através do Registro, siga os passos com atenção ou delegue a tarefa a pessoal de TI. Seja qual for a sua situação, actue com cautela perante arquivos inesperados e espere instruções e adesivos adicionais por parte da Microsoft.