[ Início ]

No dia 13 de outubro de 2026, durante o Patch Tuesday, a Microsoft divulgou uma série de correções para o seu ecossistema. Uma das vulnerabilidades corrigidas, identificada como CVE-2026-96951, ganhou um grande destaque com uma pontuação de 8.8 no CVSS v3.1 e a inclusão ao catálogo Known Exploited Vulnerabilities (KEV) da CISA.

A CVE-2026-96951 permite contornar o Mark of the Web (MotW), um mecanismo utilizado pelo Windows para identificar arquivos obtidos por fontes externas, como navegadores, clientes de e-mail e outras plataformas de mensagens. Essa marcação tem como objetivo permitir que o sistema operacional adote medidas adicionais de proteção, como alertas do SmartScreen durante a execução ou abertura de documentos no Office em modo protegido.

Visão Geral da Vulnerabilidade

A CVE-2026-96951 utiliza-se da CWE-77, marcada pela neutralização inadequada de elementos especiais utilizados em comandos pelo Windows Shell, e, de acordo com a descrição publicada pela Microsoft, é possível que um atacante não autorizado explore essa condição por meio da rede.

Assim, o fluxo de ataque consiste no envio de um arquivo manipulado por um agente malicioso à vítima, por meio de uma ferramenta legítima como e-mail, aplicativo de mensagens ou um website. Para dar prosseguimento à exploração, é necessário que a vítima interaja com o conteúdo, não se tratando de um ataque sem interação.

Quando a exploração é bem-sucedida, o arquivo não preserva corretamente a marcação de sua origem externa, tendo como consequência a falha dos mecanismos de segurança do Windows que utilizam ela para a detecção, permitindo que o payload seja facilmente executado.

É importante ressaltar que a CVE-2026-96951 é classificada como um bypass de um recurso de segurança, e não como uma vulnerabilidade autônoma de execução de código remota. Dessa forma, a falha enfraquece uma camada de proteção para integrar uma cadeia de comprometimento, mas os efeitos do ataque dependem principalmente do payload.

Versões Afetadas

A vulnerabilidade em questão afeta versões do Windows tanto para clientes como para servidores. A tabela abaixo apresenta as versões listadas pelo NIST/Microsoft em quais compilações a correção já está disponível:

Vale ressaltar que o NIST também relaciona o Outlook.com com a vulnerabilidade, mas por se tratar de um serviço administrado pela Microsoft, a correta é aplicada do lado do provedor, sem a necessidade de uma ação direta dos usuários. Além disso, sistemas com o Windows 10 que já estão fora do suporte regular somente recebem a atualização caso estejam inscritos no programa Extended Security Updates (ESU) oferecido pela Microsoft.

Mitigações

A principal medida de correção é instalar as atualizações de segurança publicadas pela Microsoft. Como não foi divulgado ainda um workaround que substitua a atualização, existem algumas mitigações que podem ser utilizadas apenas como um redução temporária de risco:

• Restringir arquivos potencialmente perigosos: até a conclusão do ciclo de correção, reforçar o bloqueio de anexos executáveis e scripts provenientes de fontes não confiáveis.

• Monitorar comportamento após a abertura de arquivos: investigar a criação de processos incomuns após a abertura de arquivos obtidos da Internet e binários executados a partir de diretórios temporários.

• Fortalecer a filtragem de conteúdo: aplicar análise de anexos, sandboxing, filtragem de URLs e políticas de bloqueio para arquivos recebidos por e-mail, Teams, Slack e outras plataformas de colaboração.

• Reforçar a conscientização dos usuários: orientar usuários a não abrir anexos inesperados nem seguir links enviados por remetentes desconhecidos.

Referências

[1] Microsoft Corporation. CVE-2026-96951 — Windows Shell Security Feature Bypass Vulnerability. Disponível em: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951. Acesso em: 14 de outubro de 2026.

[2] National Institute of Standards and Technology. CVE-2026-96951 Detail. Disponível em: https://nvd.nist.gov/vuln/detail/CVE-2026-96951. Acesso em: 14 de outubro de 2026.

[3] Cybersecurity and Infrastructure Security Agency. Known Exploited Vulnerabilities Catalog. Disponível em: https://www.cisa.gov/known-exploited-vulnerabilities-catalog. Acesso em: 14 de outubro de 2026.

[4] Microsoft Corporation. Security Updates. Disponível em: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96951. Acesso em: 14 de outubro de 2026.