Duas vulnerabilidades zero‑day do Microsoft Defender já estão sendo exploradas em ataques

Duas vulnerabilidades zero‑day que afetam o Microsoft Defender foram oficialmente adicionadas ao catálogo Known Exploited Vulnerabilities (KEV) da Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) em 20 de maio de 2026, após evidências de exploração ativa em ataques reais.

As falhas são rastreadas como CVE‑2026‑41091 e CVE‑2026‑45498, e afetam componentes centrais do mecanismo de proteção antimalware do Defender.

CVE‑2026‑41091: escalonamento local de privilégios

A CVE‑2026‑41091 é uma vulnerabilidade de elevação de privilégios (Local Privilege Escalation – LPE) no Microsoft Defender.

• Severidade: alta
• Pontuação CVSS 3.1: 7.8
• Tipo de falha: resolução incorreta de links antes do acesso a arquivos (“link following”)

O problema ocorre porque o Microsoft Malware Protection Engine pode seguir links ou atalhos sem validar corretamente seu destino antes de acessar o arquivo. Isso permite que um usuário autenticado com privilégios baixos manipule links no sistema e faça o mecanismo acessar caminhos inesperados.

Se explorada com sucesso, a falha pode permitir que o invasor eleve seus privilégios até o nível SYSTEM, o mais alto nível de controle no Windows.

Relatórios indicam que versões do Malware Protection Engine entre 1.1.26030.3008 e 1.1.26040.7 estavam vulneráveis antes das correções de segurança.

CVE‑2026‑45498: negação de serviço no Defender

A segunda falha, CVE‑2026‑45498, é uma vulnerabilidade de negação de serviço (DoS) no Microsoft Defender.

• Tipo: negação de serviço
• Pontuação CVSS: ainda não publicada pelo NVD no momento das análises disponíveis

Os detalhes técnicos divulgados publicamente ainda são limitados, mas a vulnerabilidade permite que um atacante cause uma interrupção que impede o Microsoft Defender de operar corretamente, reduzindo ou interrompendo sua capacidade de proteção.

A falha foi adicionada ao catálogo KEV com prazo de mitigação até 3 de junho de 2026 para agências federais civis dos Estados Unidos.

Inclusão no catálogo KEV da CISA

O catálogo Known Exploited Vulnerabilities (KEV) da CISA reúne falhas que já estão sendo exploradas em ataques reais. Quando uma vulnerabilidade entra nessa lista, agências federais dos EUA precisam corrigi‑la dentro de prazos definidos, seguindo a diretiva Binding Operational Directive 22‑01 (BOD 22‑01).

A atualização de 20 de maio de 2026 adicionou sete vulnerabilidades ao KEV, incluindo as duas falhas recentes do Microsoft Defender e outras vulnerabilidades antigas ainda exploradas.

Sistemas afetados

Os alertas de segurança indicam impacto principalmente em:

• Microsoft Defender Antimalware Platform
• Microsoft Malware Protection Engine

Versões anteriores a 1.1.26040.8 do engine e 4.18.26040.7 do Defender estavam entre as afetadas antes das atualizações de segurança divulgadas pela Microsoft.

Orientação de mitigação

A orientação geral para organizações e administradores inclui:

• aplicar atualizações de segurança e do mecanismo do Defender assim que disponíveis
• seguir as instruções do fornecedor e as recomendações da CISA
• aplicar medidas de mitigação ou descontinuar o uso do produto se correções não estiverem disponíveis

Embora o mandato formal da CISA se aplique a órgãos federais dos EUA, especialistas em segurança recomendam que empresas e administradores de sistemas priorizem a atualização, já que ambas as falhas já foram observadas em exploração ativa.