Varonis encontra falhas em Copilot Pessoal que permitem execução por URL; adesivo CVE-2026-24301

Varonis Threat Labs publicou uma pesquisa que descreve três falhas na Microsoft Copilot Pessoal que, segundo a assinatura, permitiam que um único clique em um link especialmente manipulado executasse uma instrução dentro da sessão autenticada do usuário e, em alguns casos, extrajera dados de serviços conectados sem uma ação adicional visível do afetado. A Microsoft classificou a vulnerabilidade principal como CVE-2026-24301 e apresentou correções em 18 de agosto de 2026; Varonis diz que notificou o problema em dezembro de 2025. O produto em causa especificado pelos pesquisadores é o assistente de consumo hospedado em copilot.microsoft.com, e Varonis não atribui a mesma conduta à Microsoft 365 Copilot em sua divulgação pública.

Feito confirmado: A Microsoft publicou a correção e designou CVE-2026-24301 (ver a entrada oficial de segurança da Microsoft para detalhes). Varonis afirma não ter encontrado provas de exploração ativa em ambientes reais até à data do seu relatório. Também está confirmado que as falhas envolvem dois vetores: execução automática de prompts por URL e escrituras persistentes na memória do assistente quando se resume páginas web manipuladas.

No técnico, a rota de ataque que Varonis denomina coletivamente "CoSnitch" aproveita um parâmetro de URL que durante testes foi revelado pelo próprio assistente após perguntar repetidamente pelas condições que permitiriam a execução de um prompt sem intervenção do usuário — uma técnica que os pesquisadores chamam de "meta-hacking" (fazer perguntas sobre as regras para que o modelo as revele). O fluxo descrito combina o parâmetro q, que preenchia o quadro de entrada, com um parâmetro adicional identificado como autorun=1; a presença simultânea de ambos produziria que a instrução fornecida fosse executada automaticamente ao carregar a página dentro da sessão autenticada do usuário.

Consequência técnica essencial: Quando a execução automática ocorre, a instrução é executada com os mesmos privilégios que se a tivesse escrito o próprio utilizador nessa sessão. Varonis demonstrou que uma instrução maliciosa pode ler conteúdos de serviços já autorizados pelo usuário (correu, calendário, arquivos, história de chat, e entradas guardadas na memória do assistente) e, mediante a capacidade de Copilot para recuperar URLs, empacotar e transmitir esses dados a um webhook controlado pelo atacante. A técnica não concede novas permissões ao atacante; usa as permissões já concedidas pelo usuário ao serviço conectado.

Nos testes relatados, Varonis obteve corpos de mensagens, assuntos e metadados de remetentes e destinatários do correio, títulos de calendário, assistentes e locais, nomes e metadados de arquivos no Google Drive, histórias de conversação completas e instruções gravadas na memória de Copilot. Para evitar inspeção e regras de detecção baseadas em padrões, a assinatura indica que o remetente dos dados pode codificar-os em base64 antes de os enviar, o que faz com que os pedidos de exfiltração sejam, a nível de rede, muito semelhantes às legítimas solicitações que Copilot faz ao resumir páginas web.

O segundo vetor descrito é independente: por meio de um site cuidadosamente construído que é processado pela função de "resumen" de Copilot, um atacante pode inserir instruções na memória persistente do assistente. Varonis afirma que essas entradas podem sobreviver a mudanças de senha, cancelamento de sessões e re-enrolamento de dispositivos, e permanecerão ativas em interações posteriores até que o usuário remova manualmente a entrada desde a configuração de memória. Os pesquisadores destacam que a escrita de memória não gera processos, arquivos, conexões de rede ou entradas de registro fáceis de detectar por ferramentas de segurança tradicionais; a mudança é observável na interface de memória do próprio Copilot.

O que está confirmado e o que não: É confirmado por Varonis que a combinação de parâmetros permitiu a execução automática em seus testes e que a Microsoft publicou um adesivo. Está confirmado que os dados acessíveis por Copilot se limitam ao que a conta do usuário já pode ver (segundo a documentação de conectores da Microsoft). Está relatado por Varonis que não há indícios de uso malicioso no campo; esse ponto depende da telemetria pública e do que Microsoft/terceiros tenham detectado e comunicado. Não está confirmado publicamente se as correções removeram automaticamente entradas maliciosas previamente escritas em memórias afetadas antes do adesivo; Varonis não especificou essa informação.

Para usuários e administradores as implicações são práticas e claras: uma ligação válida pode ser suficiente para um assistente autorizado divulgar dados sensíveis se a sessão do utilizador estiver aberta. Ou seja, a principal mitigação não é apenas mudar palavras-passe (que Varonis diz não remover as memórias persistentes) mas revisar permissões e conteúdo armazenado dentro do assistente, e reduzir a exposição em primeiro lugar.

Recomendações concretas e aplicáveis agora (comprobadas ou avaladas por Varonis e por práticas padrão de segurança): desligar ou revogar o acesso de aplicações e serviços a Copilot que não sejam estritamente necessários; revisar e apagar entradas na secção de memória de Copilot para consumidores; evitar abrir links desconhecidos enquanto estiver ativa uma sessão de Copilot no navegador; usar janelas de navegação privada ou isolar sessões de Copilot quando for imprescindível visitar links não verificados; e, para ambientes corporativos, tratar Copilot como um "insider privilegiado" nos processos de revisão de acessos e detecção de anomalias. Varonis aconselha explicitamente a rever os serviços conectados e desligar os não necessários.

Para organizações que usam a Microsoft 365 Copilot a resposta deve incluir auditoria: a Microsoft tem documentado controles e registros para memória e mudanças em ambientes empresariais (incluindo registros de MemoryUpdated e capacidades de hunting em Defender e Sentinel segundo a documentação pública), pelo que os equipamentos de segurança devem consultar logs e alertas relacionados para detectar escrituras inesperadas em memória; contudo, Varonis salienta que a pesquisa divulgada corresponde ao produto de consumo e que as proteções e telemetrias diferem entre produtos.

Incógnitas operacionais e passos seguintes: não está claro publicamente se as entradas de memória maliciosas criadas antes do adesivo foram automaticamente apagadas pela correção ou se requerem intervenção manual do usuário ou do administrador. Também não está confirmado se existem variantes deste vetor que afetem outras edições do assistente fora do domínio copilot.microsoft.com. Os usuários devem assumir a possibilidade de persistência e agir em conformidade.

Links para aprofundar: a ficha de vulnerabilidade no Guia de Actualizações da Microsoft (CVE-2026-24301) e o portal de Copilot para revisar configurações e memória são pontos de partida úteis. Para acompanhar a pesquisa e as recomendações originais de Varonis consulte o seu canal técnico (a assinatura publicou o relatório e materiais técnicos sobre o achado).

Resumo final: a lição prática de CoSnitch é reafirmar uma máxima de segurança aplicada a assistentes de IA — Se o assistente estiver autenticado e autorizado a aceder a serviços, a sua interface Web pode tornar-se uma superfície de exfiltração se combinar com URLs manipuladas. Aplicar adesivos, reduzir permissões, auditar memórias e desconfiar de ligações no contexto de sessões autenticadas são medidas concretas e urgentes para mitigar o risco.