Microsoft corrige 59 vulnerabilidades com seis falhas exploradas ativamente

Atualização de fevereiro cobre bypass de segurança, elevação local de privilégio, negação de serviço e falhas críticas em componentes do Windows, Office, MSHTML e Remote Desktop.

Componente	Windows Shell, MSHTML Framework, Microsoft Office Word, Desktop Window Manager, Windows Remote Access Connection Manager e Windows Remote Desktop.
Vetor	Arquivos maliciosos, interação do usuário, exploração local após acesso ao host e abuso de componentes do Windows com falhas de bypass, tipo incompatível, ponteiro nulo e gerenciamento impróprio de privilégio.
Impacto	Bypass de controles de segurança, elevação local até SYSTEM, negação de serviço local e possibilidade condicionada de desativação de controles, instalação de malware adicional ou acesso a segredos em hosts já comprometidos.
Prioridade	Aplicar as correções mensais do Windows e Office, priorizando os seis CVEs incluídos no catálogo KEV da CISA e os ativos expostos a documentos, HTML, Remote Desktop e acesso interativo local.
Versões	O contexto confirma correções no ciclo mensal de fevereiro de 2026, mas não detalha versões específicas afetadas por produto.
Artefatos	Foi descrito um binário de exploração para CVE-2026-21533 que altera uma chave de configuração de serviço para facilitar elevação de privilégio.

Resumo técnico

A atualização mensal de fevereiro de 2026 da Microsoft corrige 59 vulnerabilidades em seu ecossistema de software, com cinco falhas classificadas como críticas, 52 como importantes e duas como moderadas. O conjunto inclui 25 vulnerabilidades de elevação de privilégio, 12 de execução remota de código, sete de spoofing, seis de divulgação de informação, cinco de bypass de recurso de segurança, três de negação de serviço e uma de cross-site scripting. O ponto operacional mais sensível é a presença de seis falhas já exploradas ativamente: CVE-2026-21510, CVE-2026-21513, CVE-2026-21514, CVE-2026-21519, CVE-2026-21525 e CVE-2026-21533.

As vulnerabilidades exploradas cobrem caminhos diferentes de comprometimento. Três delas envolvem bypass de controles de segurança em Windows Shell, MSHTML Framework e Microsoft Office Word, o que aumenta o risco em fluxos de abertura de arquivos e renderização de conteúdo. Outras duas são elevações locais de privilégio em Desktop Window Manager e Windows Remote Desktop, relevantes quando o invasor já obteve execução no host por anexo, outra vulnerabilidade ou movimentação a partir de um sistema previamente comprometido. A sexta falha, em Windows Remote Access Connection Manager, permite negação de serviço local. A CISA adicionou as seis vulnerabilidades ao catálogo KEV, com exigência de correção para agências federais civis dos Estados Unidos até 3 de março de 2026.

Fluxo técnico

CVE-2026-21510 afeta o Windows Shell e recebeu CVSS 8.8. A falha é descrita como uma falha de mecanismo de proteção que permite a um atacante não autorizado contornar um recurso de segurança pela rede. O contexto não detalha a cadeia de exploração, os artefatos usados nem se o desvio depende de interação direta do usuário. Para defesa, a leitura correta é tratar a vulnerabilidade como um bypass em superfície de shell e priorizar estáções que processam arquivos recebidos externamente, abrem conteúdo de rede ou participam de fluxos de colaboração com arquivos não confiáveis.

CVE-2026-21513 afeta o MSHTML Framework, componente usado pelo Windows e por aplicações para renderizar conteúdo HTML. A falha também recebeu CVSS 8.8 e está associada a um mecanismo de proteção que pode ser contornado quando usuários interagem com arquivos maliciosos. A exploração descrita permite ignorar prompts de segurança e acionar ações perigosas com uma interação mínima. O dado mais importante para equipes de AppSec, endpoint e correlação de eventos é que o vetor pode envolver arquivo HTML, ampliando a superfície para anexos, arquivos baixados e conteúdo entregue por canais corporativos.

CVE-2026-21514 atinge o Microsoft Office Word, com CVSS 7.8, e envolve decisão de segurança baseada em entradas não confiáveis. O bypass ocorre localmente e depende de um arquivo do Office, diferentemente da falha em MSHTML, que também pode envolver HTML. Isso coloca o risco no fluxo clássico de documentos recebidos por e-mail, mensageria, compartilhamentos e portais internos. O impacto confirmado é bypass de recurso de segurança, não execução remota de código por si só; portanto, a defesa deve correlacionar a abertura de documentos com eventos subsequentes incomuns, como criação de processos, alteração de preferências de segurança ou comportamento anômalo do Office.

CVE-2026-21519 afeta o Desktop Window Manager e recebeu CVSS 7.8. A vulnerabilidade é uma confusão de tipo que permite elevação local de privilégio por um atacante autorizado. O termo autorizado, neste contexto, indica que o invasor precisa ter algum nível de acesso ao host antes de acionar a falha. O risco prático está na etapa pós-acesso: uma conta de baixo privilégio, um processo comprometido ou uma sessão obtida por outro vetor pode tentar escalar para permissões mais altas, inclusive SYSTEM, se a exploração for bem-sucedida.

CVE-2026-21525 fica no Windows Remote Access Connection Manager, tem CVSS 6.2 e decorre de desreferência de ponteiro nulo. O efeito confirmado é negação de serviço local por atacante não autorizado. Embora a criticidade seja menor do que nas falhas de bypass e elevação, o componente deve entrar no plano de correção por estar na lista de vulnerabilidades exploradas ativamente. Em ambientes com dependência operacional de conectividade remota, interrupções locais em serviços relacionados a acesso remoto podem causar impacto de disponibilidade e dificultar resposta durante incidentes.

CVE-2026-21533 afeta Windows Remote Desktop, recebeu CVSS 7.8 e é uma falha de gerenciamento impróprio de privilégio explorável localmente por atacante autorizado. O contexto descreve um binário de exploração que modifica uma chave de configuração de serviço, substituindo-a por uma chave controlada pelo atacante, o que pode permitir elevação para adicionar um novo usuário ao grupo de administradores. Esse detalhe torna a telemetria de serviços, registro e grupos locais particularmente importante após a aplicação de patches, porque sistemas comprometidos antes da correção podem preservar alterações indevidas.

Superfície afetada

A superfície exposta não se limita a servidores. Estáções de trabalho Windows são relevantes porque parte das falhas depende de interação com arquivos, documentos ou conteúdo HTML. Ambientes com usuários que recebem anexos externos, manipulam documentos de fornecedores, acessam portais não confiáveis ou abrem arquivos em compartilhamentos devem tratar as falhas de bypass como prioridade. O risco aumenta quando controles de conteúdo, sandboxing de documentos, reputação de arquivos e bloqueio de macros não fornecem cobertura suficiente para eventos de abertura e renderização.

Servidores e hosts de administração também exigem atenção por causa das vulnerabilidades de elevação local de privilégio. Uma falha local pode parecer menos urgente quando analisada isoladamente, mas ela ganha peso quando combinada com acesso inicial por credenciais válidas, exploração de outro serviço, sessão remota indevida ou movimentação a partir de um host já comprometido. Em um cenário pós-acesso, elevar para SYSTEM pode permitir desativar ferramentas de segurança, alterar configurações persistentes e acessar segredos disponíveis no próprio host, sempre condicionado ao que estiver presente naquele ambiente.

• Windows Shell e MSHTML Framework em sistemas que processam arquivos e conteúdo HTML não confiável.
• Microsoft Office Word em endpoints que recebem documentos por e-mail, mensageria, portais ou compartilhamentos.
• Desktop Window Manager e Windows Remote Desktop em hosts onde um atacante já tenha execução local ou sessão autenticada.
• Windows Remote Access Connection Manager em sistemas nos quais falhas locais de disponibilidade afetem conectividade ou resposta operacional.
• Microsoft Edge para Android também recebeu correção separada para CVE-2026-0391, vulnerabilidade moderada de spoofing por representação incorreta de informação crítica na interface.

Hunting e telemetria

A caça deve separar duas classes de comportamento. Para as falhas de bypass em Shell, MSHTML e Word, a prioridade é reconstruir eventos de abertura de arquivos, origem do conteúdo, reputação do arquivo e comportamento de processos logo após a interação do usuário. Como o contexto não fornece payloads, hashes, nomes de arquivos ou infraestrutura, não há base para buscar IoCs fixos. A abordagem defensiva deve usar telemetria comportamental: documentos ou HTML que disparam processos incomuns, mudanças de zona de segurança, ausência inesperada de prompts, ou sequência de execução que foge do padrão do usuário.

Para as falhas de elevação local, a investigação deve focar evidências de alteração de privilégio, mudanças em grupos locais, manipulação de serviços e execução de binários desconhecidos em diretórios de usuário ou temporários. No caso de CVE-2026-21533, o detalhe de alteração de chave de configuração de serviço permite uma linha concreta de hunting: procurar modificações recentes em configuração de serviços, especialmente quando seguidas por inclusão de conta em grupos administrativos. A análise deve considerar que o invasor pode já estar no host por outro vetor, então os eventos anteriores à elevação são tão importantes quanto o artefato de exploração em si.

• Abertura de arquivos HTML ou documentos do Office seguida por criação de processos incomuns, alteração de política local ou comportamento fora do perfil do usuário.
• Eventos de elevação de privilégio local, criação de contas, inclusão em grupo de administradores e execução com contexto SYSTEM sem justificativa operacional.
• Alterações em configuração de serviços no Windows, com atenção a chaves modificadas pouco antes de mudanças em grupos locais ou reinicialização de serviços.
• Falhas ou reinícios anômalos associados ao Windows Remote Access Connection Manager, principalmente em hosts onde o serviço é crítico.
• Correlação entre primeira execução de arquivos recebidos externamente e alertas de EDR, bloqueios de segurança, falhas de prompt ou eventos de integridade de runtime.

Mitigação

A resposta deve começar pela aplicação das atualizações de fevereiro de 2026 em sistemas Windows e Office, com prioridade para ativos expostos a conteúdo não confiável e hosts com Remote Desktop ou funções administrativas. Como as seis falhas exploradas já foram incluídas no KEV, organizações com processo formal de gestão de vulnerabilidades devem tratá-las como correção urgente, não como atualização rotineira. Em ambientes com janelas restritas, a ordem prática é corrigir primeiro estáções de usuários de maior exposição, servidores de administração, hosts com sessões remotas frequentes e sistemas que concentram credenciais ou ferramentas de segurança.

A correção não substitui investigação retrospectiva. Quando uma vulnerabilidade já é explorada, a aplicação do patch fecha o vetor conhecido, mas não remove contas criadas, serviços alterados, binários deixados no disco ou permissões indevidas. Após atualizar, as equipes devem revisar sinais de exploração compatíveis com as falhas, validar integridade de grupos administrativos, examinar mudanças de serviços e conferir se políticas de proteção de documentos e conteúdo HTML continuam ativas. Em paralelo, a Microsoft também está substituindo certificados originais de Secure Boot de 2011, que expiram no fim de junho de 2026; dispositivos que não receberem os novos certificados devem continuar funcionando, mas entram em estado de segurança degradado para futuras proteções em nível de inicialização.

As iniciativas Windows Baseline Security Mode e User Transparency and Consent indicam reforço gradual de proteções padrão. A primeira move o Windows para salvaguardas de integridade em tempo de execução habilitadas por padrão, permitindo a execução apenas de aplicações, serviços e drivers corretamente assinados. A segunda introduz prompts consistentes quando aplicações tentam acessar recursos sensíveis, como arquivos, câmera e microfone, ou instalar software não pretendido. Essas mudanças não reduzem a urgência do patch atual, mas ajudam a contextualizar o foco defensivo em integridade, consentimento explícito e visibilidade de comportamento de aplicações e agentes de IA.

• Aplicar as atualizações de fevereiro de 2026 em Windows, Office e componentes associados, com validação de sucesso por inventário e telemetria de endpoint.
• Priorizar CVE-2026-21510, CVE-2026-21513, CVE-2026-21514, CVE-2026-21519, CVE-2026-21525 e CVE-2026-21533 por exploração ativa confirmada.
• Revisar grupos administrativos locais, contas recém-criadas, permissões elevadas e alterações de configuração de serviços após a janela provável de exposição.
• Reforçar controles de documentos e HTML, incluindo análise de anexos, isolamento de arquivos recebidos externamente e bloqueio de comportamentos anômalos do Office.
• Confirmar recebimento dos novos certificados de Secure Boot antes da expiração dos certificados de 2011, especialmente em frotas com ciclo de atualização irregular.