Um dia depois do remendo da Microsoft, alguém publicou a prova de que estava incompleto
A Microsoft passou a terça-feira a publicar o maior conjunto de correcções de segurança da sua história. Na quarta-feira, um investigador anónimo publicou a prova de que uma delas não tinha acabado o trabalho.
A ferramenta chama-se ShieldCrash e aponta ao Microsoft Defender, o antivírus que vem com o Windows. O seu antecessor, o ShieldBreak, era identificado como CVE-2026-69414 e foi fechado na versão 1.1.26080.3 do Malware Protection Engine. A afirmação do investigador é directa: a Microsoft bloqueou vários caminhos até à falha e falhou um. O que resta lê ficheiros arbitrários com privilégios SYSTEM em Windows 10, Windows 11 e Windows Server completamente actualizados, sem correcção disponível. Esta publicação é descrita como uma versão básica, com a nota de que um exploit SYSTEM completo é exequível.
Antes de sair à procura de algo para desligar, a forma desta falha importa. O ShieldCrash lê ficheiros; escrever não consegue. E, tal como a falha RoguePlanet de que falámos em Julho, é uma elevação local, ou seja, só é útil a algo que já esteja a correr na sua máquina. Ninguém apanha isto por uma página web ou por um email. É o segundo movimento de um ataque, não o primeiro.
O que torna o caso invulgar é o contexto. Desde Abril, a mesma pessoa, que assina Nightmare Eclipse e Chaotic Eclipse entre outros pseudónimos, tem vindo a divulgar uma série de dias zero do Windows e do Defender: ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma e UnDefend, numa disputa aberta com a Microsoft sobre a forma como esta trata os relatórios de erros e os prémios. A Microsoft respondeu com avisos de acções legais por "actividade maliciosa que causa dano real". Os utilizadores domésticos são espectadores dessa discussão, o que é um sítio incómodo para se estar.
Não há, portanto, nada para instalar nem nada para desactivar. A correcção, quando chegar, virá pelas actualizações do próprio motor do Defender e não pelo Windows Update, pelo que o hábito útil é simplesmente garantir que o Defender está a funcionar com a protecção contra adulteração ligada. A verificação de postura de segurança do Tendvane confirma exactamente isso, e vale uma vista de olhos se alguma coisa instalada há meses anda a baixar-lhe as protecções em silêncio.