Parche fora de ciclo para Office corrige CVE-2026-21509: vulnerabilidade que já permitia contornar proteções COM/OLE e facilitar ataques direcionados

A Microsoft lançou um adesivo fora de ciclo para corrigir uma vulnerabilidade de gravidade elevada no Microsoft Office que já está sendo aproveitada em ataques direcionados. Identificada como CVE-2026-21509, a falha tem uma pontuação CVSS de 7.8/10 e é classificada como uma omissão nas protecções de segurança do Office que permite contornar os mecanismos concebidos para bloquear controlos COM/OLE inseguros.

Em termos simples, um atacante pode enviar um arquivo do Office manipulado e, se a vítima o abrir, a vulnerabilidade pode permitir que algumas defesas normalmente bloqueiam componentes OLE vulneráveis. A Microsoft afirmou expressamente que a pré-visualização de arquivos (Preview Pane) não serve como vetor de ataque para esta falha, pelo que a exploração bem-sucedida depende de conseguir que o usuário abra o documento malicioso com a aplicação do Office.

A empresa publicou um aviso técnico com os detalhes e as mitigações, e atribuiu ao trabalho conjunto do Microsoft Threat Intelligence Center (MSTIC), Microsoft Security Response Center (MSRC) e a equipe de segurança do grupo de produto Office. Você pode consultar o guia oficial na página Microsoft para o CVE aqui: msrc.microsoft.com/update-guide/CVE-2026-21509.

A Microsoft implementou uma correção do lado do serviço para clientes que usam o Office 2021 e versões posteriores, o que significa que esses usuários recebem proteção sem ter que instalar um adesivo local, embora seja necessário reiniciar as aplicações do Office para que as mudanças tenham efeito. Para instalações mais antigas, como o Office 2016 e 2019, a Microsoft publicou builds concretos que devem ser instalados para fechar a lacuna; aqueles que dependem dessas versões devem rever e instalar as actualizações correspondentes de acordo com sua edição e arquitetura.

Se por alguma razão não for possível aplicar imediatamente as atualizações, a Microsoft propõe uma mitigação baseada em uma modificação do Registo do Windows. Antes de tocar nada, a empresa recomenda fazer uma cópia de segurança do registro; a Microsoft explica o procedimento para salvar e restaurar o registro nesta página de suporte: Como apoiar e restaurar o Registo. A mitigação implica fechar todas as aplicações do Office, abrir o Editor do Registro e criar uma nova chave de compatibilidade dentro do ramo correspondente à instalação do Office (as rotas variam se se trata de uma instalação MSI ou Click-to-Run e segundo se o Windows é de 32 ou 64 bits). Dentro dessa chave há que adicionar um valor REG_DWORD chamado "Compatibility Flags" com o valor hexadecimal 0x400; ao terminar, fechar o editor do Registro e voltar a iniciar a aplicação do Office para que a medida tenha efeito.

Se você quer entender melhor por que afeta componentes OLE e o que são essas mitigações, há recursos que explicam o funcionamento de OLE e por que os controles COM/OLE são um vetor frequente de exploração: um bom ponto de partida é a explicação técnica de mitigações OLE em plataformas de segurança como Huntress: O que é o OLE?.

A Microsoft não tem tornado públicos detalhes detalhados sobre quantas campanhas ou que alcance têm os ataques que já utilizaram esta vulnerabilidade, mas a gravidade e a existência de explorações reais foram suficientes para que a Agência de Segurança de Infraestruturas e Cibersegurança dos EUA (CISA) incluísse a falha no seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV). Essa inclusão obriga as agências federais civis dos EUA a aplicarem as correcções antes de um prazo estabelecido pela CISA; o aviso oficial da agência sobre a inclusão está disponível aqui: CISA acrescenta a vulnerabilidade ao catálogo KEV, e o catálogo público pode ser consultado em Known Exploited Vulnerabilities (KEV).

Para administradores e responsáveis pela segurança, a recomendação é dupla: priorizar a instalação das atualizações publicadas pela Microsoft e, enquanto se aplicam, avaliar a mitigação do Registro em ambientes onde a atualização não seja viável imediatamente. Além disso, convém reforçar medidas preventivas tradicionais: filtrar anexos e conteúdos ativos no correio, educar usuários para não abrir documentos de remetentes não verificados e monitorar sinais de atividade incomum em endpoints que possam estar relacionados com processos do Office.

Num ecossistema onde os documentos continuam a ser um vetor predilecto para intrusões, esta correção lembra que o risco persiste e que manter o software atualizado continua sendo a defesa mais efetiva. Fique atento aos comunicados oficiais e aplique as atualizações recomendadas logo que possível.