MiniPlasma e cldflt.sys: a corrida de privilégios que pode converter o Windows adesivo em SYSTEM

O pesquisador conhecido como Chaotic Eclipse publicou recentemente um proof‐of‐concept (PoC) que aproveita uma vulnerabilidade de escalada de privilégios no Windows, batizada como MiniPlasma, que supostamente permite a um atacante obter privilégios SYSTEM em máquinas aparentemente completamente adesivos. O erro está localizado no controlador de filtro de arquivos na nuvem do Windows, cldflt.sys, em uma rotina denominada HsmOsBlockPlaceholderAccess; segundo o autor, a mesma raiz do problema foi relatada originalmente por James Forshaw do Google Project Zero em 2020.

A história técnica é relevante: em setembro de 2020 Forshaw descreveu um problema que a Microsoft mitigou em dezembro desse ano sob CVE-2020-17103, mas Chaotic Eclipse afirma que a condição original — uma race condition No código do mini-filtro, segue presente na prática e que o PoC original funciona sem mudanças para produzir uma consola com privilégios SYSTEM. A natureza das race conditions faz com que a exploração seja dependente de timmings e do ambiente, mas precisamente por isso podem ser difíceis de corrigir de forma confiável e permanecer latentes após adesivos aparentes; para contexto técnico geral, podem ser consultados trabalhos do Project Zero e avisos da Microsoft sobre vulnerabilidades: Google Project Zero e Microsoft Security Response Center.

As implicações práticas são claras e graves: uma escalada local a SYSTEM Abre a porta para controle total da equipe, persistência, instalação de backdoors e avanço lateral em redes corporativas. Vários pesquisadores externos, incluindo Will Dormann, indicaram que a exploração funciona de forma confiável em sistemas Windows 11 com as atualizações de maio de 2026, embora não em todos os ramos de Insider; isso sugere que o problema não está limitado a uma versão concreta e que seu risco é significativo em ambientes heterogêneos.

Historicamente não é a primeira vez que o componente cldflt.sys figura em avisos de segurança: a Microsoft também tratou em dezembro de 2025 outra vulnerabilidade de escalada no mesmo driver (CVE‐2025‐62221) identificada como explorada no campo. Esse antecedente destaca dois pontos: por um lado, que controladores relacionados à integração de armazenamento na nuvem são objetivos atrativos pela sua posição na pilha do sistema; por outro, que as mitigações podem exigir revisões profundas e testes para evitar regresões ou adesivos incompletos.

O que podem e devem fazer administradores e responsáveis pela segurança agora mesmo? Em primeiro lugar, não assumir que “parcheado” significa ausência de risco: rever avisos oficiais e aplicar todas as atualizações recomendadas pela Microsoft. Complementariamente, convém reforçar controles compensatórios: reduzir privilégios locais ao mínimo necessário, aplicar políticas de bloqueio de execução e whitelisting, configurar regras do EDR e do SIEM para detectar processos inesperados executando-se como NT AUTHORITY\\SYSTEM (por exemplo cmd.exe ou powershell.exe iniciados com esse token), e segmentar estações com acesso a dados críticos para limitar o impacto de uma escalada local. Para a administração centralizada e a pesquisa de CVE podem ser consultadas bases públicas como a NVD: NVD.

Para usuários finais as recomendações são práticas e simples: manter o Windows atualizado, evitar executar código de origem não confiável com privilégios elevados e considerar, quando viável, desativar características de integração de nuvem que não sejam usadas (por exemplo, Files On-Demand do OneDrive) até que haja clareza sobre adesivos definitivos; essas medidas reduzem a superfície de ataque ao componente afetado. Os testes de exploração devem limitar-se a ambientes de laboratório controlados: executar um PoC em produção pode comprometer sistemas e deixar provas difíceis de limpar.

Finalmente, é importante lembrar que a publicação de PoC públicos acelera a necessidade de respostas coordenadas: as equipes de resposta a incidentes devem priorizar a detecção de escaladas locais, revisar telemetria histórica em busca de execuções suspeitas como SYSTEM shells e preparar planos de contenção. Manter a comunicação com fornecedores, seguir o canal oficial da Microsoft para atualizações e validar adesivos em ambientes de teste antes de os colocar em massa são práticas que hoje resultam mais críticas do que nunca.