Um investigador de segurança disponibilizou uma nova vulnerabilidade de dia zero (zero-day) direcionada ao antivírus nativo dos sistemas operativos da Microsoft. O exploit, batizado de RoguePlanet, surge escassas horas depois de a tecnológica ter corrigido duas falhas anteriormente divulgadas durante o Patch Tuesday de junho de 2026.
Segundo o especialista conhecido como Nightmare Eclipse, o problema afeta dispositivos Windows 10 e Windows 11 totalmente atualizados. A exploração bem-sucedida permite que atacantes consigam abrir uma linha de comandos com privilégios máximos do sistema (SYSTEM), tirando partido de uma condição de corrida (race condition) no processamento do antivírus da empresa. Conforme a informação partilhada pela autor da descoberta no seu blog, a empresa de cibersegurança ThreatLocker conseguiu reproduzir com sucesso o ataque em sistemas Windows 11 com o pacote de atualização KB5094126 instalado.
Uma vulnerabilidade instável baseada em condições de corrida
Por assentar numa condição de corrida, a eficácia do método pode variar consoante a máquina visada. O próprio autor do RoguePlanet refere na documentação técnica que a taxa de sucesso chega a atingir os 100% em determinados computadores, enquanto noutros o processo encontra bastantes dificuldades para funcionar de forma correta. O código foi testado tanto em versões oficiais e de desenvolvimento (Canary) do Windows 11, como em plataformas Windows 10.
Originalmente, a intenção do investigador passava por criar uma vulnerabilidade de execução remota de código (RCE). O cenário inicial baseava-se na forma como o Microsoft Defender lida com ficheiros alojados em servidores de partilha de ficheiros remotos (SMB), onde a abertura de um ficheiro corrompido forçaria o programa a sobrescrever os seus próprios dados estruturais.
O braço de ferro entre o investigador e a Microsoft
O RoguePlanet terá sofrido alterações profundas a meio do desenvolvimento após a Microsoft ter aplicado melhorias silenciosas na interface de programação mpengine!SysIO* em meados de maio de 2026. Esta alteração acabou por bloquear ataques estruturados em junções de diretórios, limitando o impacto atual e deixando dúvidas se a falha poderá voltar a ser convertida numa execução remota.
Este lançamento público surge na sequência de um longo desentendimento entre o programador e a gigante tecnológica sobre as práticas de atribuição de recompensas (bug bounty). Nos últimos meses, Nightmare Eclipse foi responsável pela divulgação de múltiplos problemas que afetam o ecossistema Windows, incluindo as falhas BlueHammer, RedSun, GreenPlasma e YellowKey — sendo que estas duas últimas foram oficialmente corrigidas nas atualizações recentes da Microsoft.
As investidas anteriores resultaram na remoção consecutiva dos repositórios do programador em plataformas como o GitHub e o GitLab, levando à autonomização e criação de um espaço de alojamento próprio em projectnightcrawler.dev.
Nenhum comentário
Seja o primeiro!