Microsoft lança atualização de emergência para falha zero-day crítica no Office

A Microsoft libertou atualizações de segurança de emergência, fora do ciclo habitual, para corrigir uma vulnerabilidade zero-day de alta gravidade que está a ser ativamente explorada em ataques. Esta falha, que afeta várias versões da popular suite de produtividade, permite contornar funcionalidades de segurança essenciais.

Versões afetadas e risco de segurança

A vulnerabilidade, rastreada como CVE-2026-21509, afeta uma vasta gama de produtos, incluindo o Microsoft Office 2016, Office 2019, Office LTSC 2021, Office LTSC 2024 e o Microsoft 365 Apps for Enterprise. O problema reside na forma como o software toma decisões de segurança baseadas em dados não fidedignos, permitindo que um atacante local não autenticado contorne as proteções OLE/COM.

Para explorar esta falha, o atacante necessita de enviar um ficheiro malicioso ao utilizador e convencê-lo a abri-lo. Embora o painel de pré-visualização não seja um vetor de ataque, a interação do utilizador é suficiente para comprometer o sistema, conforme detalhado no boletim de segurança oficial.

É importante notar que, embora as atualizações estejam disponíveis para as versões mais recentes, os utilizadores do Office 2016 e 2019 encontram-se temporariamente desprotegidos, uma vez que as correções para estas versões ainda não foram disponibilizadas, devendo chegar "o mais brevemente possível".

Solução temporária via Registo do Windows

Para os utilizadores das versões 2016 e 2019, ou para administradores que necessitem de uma mitigação imediata antes de aplicar o patch, é possível implementar uma alteração no Registo do Windows. Recomendamos extrema cautela e a criação de uma cópia de segurança do Registo antes de proceder:

1. Feche todas as aplicações do Microsoft Office.

2. Abra o Editor de Registo (escreva regedit no Menu Iniciar).

3. Navegue até à seguinte chave (crie as chaves "Common" e "COM Compatibility" se não existirem): HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\ (Nota: Em sistemas de 64 bits com Office de 32 bits, o caminho será HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility\).

4. Dentro da chave COM Compatibility, crie uma nova Chave com o nome exato: {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}.

5. Dentro desta nova chave, crie um valor DWORD (32-bit) chamado Compatibility Flags.

6. Defina o valor hexadecimal para 400.

Após estes passos, a vulnerabilidade deverá ficar mitigada na próxima execução do Office.

Esta atualização de emergência surge num mês particularmente agitado para a gigante tecnológica. Em janeiro de 2026, a empresa já tinha corrigido 114 falhas, incluindo outras vulnerabilidades zero-day, e lançado correções adicionais para resolver problemas de congelamento no Outlook e erros no arranque do Windows.