Duas falhas na Microsoft Defender exploradas em ambientes reais aumentam privilégios para SYSTEM e provocam DoS adesivo urgente

A Microsoft confirmou que duas falhas no seu motor antimalware foram ativamente exploradas em ambientes reais: um aumento de privilégios (CVE-2026-41091) qualificado com 7.8 na escala CVSS e outro recusa de serviço (CVE-2026-45498) com pontuação 4.0. O primeiro permite a um atacante autorizado escalar privilégios SYSTEM Por meio de um problema na resolução de links antes do acesso a arquivos, enquanto o segundo pode interromper o serviço do componente de segurança. Ambos os erros foram corrigidos nas versões do motor indicadas pela Microsoft, pelo que a atualização é prioritária.

A natureza local da vulnerabilidade de elevação de privilégios significa que o atacante precisa de algum grau de acesso inicial à equipe - por exemplo, uma conta de usuário ou execução de código em contexto restrito - para depois aproveitar a falha e tomar controle do sistema com permissões completas. Esse salto para SYSTEM converte qualquer acesso limitado em uma invasão integral do endpoint, com capacidade para desativar controles, implantar persistência ou mover lateralmente dentro de uma rede.

A Microsoft afirmou que as equipes com a Microsoft Defender desativado não são vulneráveis a essa particular falha, mas Desactivar soluções de segurança não é uma mitigação aceitável em ambientes produtivos: deixa os sistemas expostos a ameaças conhecidas e desconhecidas. A empresa acreditou vários pesquisadores pela descoberta, e incluiu ambas as falhas em seu canal de correções através de atualizações automáticas do motor e das definições.

Se você é administrador ou responsável pela segurança, verifique que a plataforma anti-malware da Microsoft está nas versões que corrigem estas falhas (por exemplo, Antimalware Platform 1.1.26040.8 e 4.18.26040.7 como informou a Microsoft). Você pode consultar a documentação oficial sobre como manter atualizado Microsoft Defender e clientes: Como atualizar Microsoft Defender. Além disso, a inclusão destes CVE no catálogo de vulnerabilidades exploradas da CISA obriga certas entidades federais a remediar em prazos concretos; revisa o catálogo para ver a lista completa e as datas-limite: CISA KEV (Known Exploited Vulnerabilities).

Para verificar o estado em um computador Windows, abre a aplicação do Windows Security, revisa a seção de Proteção contra vírus e ameaças e consulta as atualizações de proteção; na seção Acerca de (About) aparece também o número de versão do cliente antimalware que confirma se você recebeu a correção. Em ambientes geridos, valida que o WSUS, o Intune ou a solução de administração de adesivos que uses estejam a disponibilizar as actualizações do motor corretamente e que não existam políticas que impeçam a atualização automática.

Em termos de detecção e resposta, revisa os registros da Microsoft Defender (por exemplo, os eventos sob Microsoft-Windows-Windows Defender/Operational) e os alertas do seu EDR para atividades incomuns posteriores à exploração local: criação de serviços, mudanças em arranques, manipulação do motor antivírus ou escrituras em diretórios protegidos. A caça de ameaças deve concentrar-se em atividade local que precede mudanças no contexto de segurança, e na exploração de ligações simbólicas ou técnicas de “link following” que se aproveitam de acessos a arquivos.

Para além do adesivo, aplica controlos compensatórios: reduz os privilégios locais por defeito, segmentar redes e limita a capacidade de execução de binários não assinados ou não aprovados; emprega políticas de restrição de aplicações e princípios de menor privilégio para atenuar o impacto se uma vulnerabilidade local for explorada. Para organizações com alta exposição, considere aumentar a telemetria de endpoints e habilitar mecanismos de resposta automatizada para isolar rapidamente hosts comprometidos.

O aparecimento destas vulnerabilidades junto com outras adicionadas recentemente ao catálogo de CISA sublinha que nem as falhas antigas nem os novos devem ser ignoradas: a higiene dos adesivos e a monitorização contínua continuam a ser as defesas mais eficazes. Prioriza a verificação de atualizações, coordena com as equipes de operações a distribuição dos adesivos e documenta as verificações para demonstrar cumprimento contra requisitos regulatórios ou contratuais.