Microsoft recua de ameaças legais contra pesquisador Nightmare Eclipse após revolta na cibersegurança

Três das seis vulnerabilidades foram rapidamente confirmadas como estando sob exploração ativa: BlueHammer (CVE-2026-33825), RedSun (CVE-2026-41091) e UnDefend (CVE-2026-45498) . A CISA, agência de cibersegurança dos EUA, as adicionou ao seu catálogo de Vulnerabilidades Exploradas Conhecidas, exigindo que órgãos federais aplicassem correções de emergência . A Microsoft corrigiu o BlueHammer no ciclo de correções de 14 de abril e lançou atualizações emergenciais para RedSun e UnDefend em 21 de maio, após a notificação de ataques ativos . As três restantes — YellowKey (uma falha que permitia driblar o BitLocker, CVE-2026-45585), GreenPlasma e MiniPlasma — permaneciam sem correção até o início de junho .

O pesquisador alegou um histórico de queixas com a forma como a Microsoft lidava com vulnerabilidades. Nightmare Eclipse afirmou que relatórios anteriores enviados pelos canais oficiais foram ignorados ou mal geridos, e que recompensas por bugs — supostamente de até R$ 1,4 milhão (US$ 250 mil) para explorações do Hyper-V — não foram pagas . A Microsoft, por sua vez, declarou que o pesquisador não havia reportado as vulnerabilidades pelos canais oficiais antes da publicação .

Como a Microsoft escalou o conflito

A situação se intensificou drasticamente na última semana de maio. Por volta do dia 23, a conta de Nightmare Eclipse no GitHub foi suspensa. O pesquisador foi então banido do GitLab entre os dias 26 e 27 de maio . Operando a partir de um blog pessoal, o pesquisador ameaçou um vazamento "devastador" de explorações adicionais, programado para 14 de julho de 2026 — a próxima “Terça-Feira de Correções” .

Em 27 de maio, o MSRC da Microsoft publicou um artigo intitulado "Uma Responsabilidade Compartilhada: Protegendo clientes por meio da Divulgação Coordenada de Vulnerabilidades" . O texto condenava divulgações descoordenadas, afirmando que “divulgações descoordenadas que colocam códigos de prova de conceito para vulnerabilidades não corrigidas nas mãos de agentes mal-intencionados nunca são justificáveis e têm consequências no mundo real” .

Um trecho em particular acendeu o alerta em toda a comunidade de segurança:

"Nossa Unidade de Crimes Digitais (DCU) continuará movendo ações contra esses agentes e aqueles que possibilitam sua atividade criminosa — coordenando conforme necessário com as forças da lei em todo o mundo" .

Embora a Microsoft não tenha citado Nightmare Eclipse diretamente, o contexto do artigo — uma resposta direta à campanha de zero-days em andamento — levou muitos pesquisadores a interpretá-lo como uma ameaça legal específica contra o pesquisador .

A comunidade de cibersegurança vai à forra

A reação foi rápida e esmagadoramente negativa. Pesquisadores de segurança, comentaristas do setor e as principais publicações de tecnologia acusaram a Microsoft de táticas de intimidação que poderiam inibir pesquisas de segurança legítimas .

Diversos veículos publicaram reportagens críticas em questão de dias. A manchete do TechCrunch dizia "Microsoft sob fogo por ameaçar pesquisador de segurança com investigação criminal" . O Windows Central relatou o medo pessoal do pesquisador com o título "Eles vão arruinar minha vida" . The Register, Security Affairs, CSO Online e The Times of India cobriram a repercussão negativa, com veículos internacionais notando a "indignação" e o "tumulto" na comunidade .

Um tema central nas críticas: pesquisadores argumentavam que a postura jurídica da Microsoft minava a confiança no próprio processo de divulgação coordenada. Se os pesquisadores temessem retaliações legais, poderiam simplesmente parar de reportar bugs pelos canais oficiais . Vários comentaristas notaram a ironia de a Microsoft ameaçar um pesquisador enquanto três das seis vulnerabilidades divulgadas continuavam sem correção .

O pesquisador de segurança Kevin Beaumont destacou publicamente a conduta da Microsoft, questionando a proporcionalidade da resposta da empresa . O consenso geral formou-se em torno da ideia de que a Microsoft havia desencadeado a escalada ao administrar mal os relatórios iniciais do pesquisador e, em seguida, agravou o problema com bravatas jurídicas .

O recuo de 2 de junho

Em 2 de junho de 2026, a Microsoft reverteu seu curso. Em uma declaração publicada na plataforma de rede social X e divulgada por vários veículos, a empresa declarou: "Para sermos claros sobre nossa abordagem em questões legais, não temos intenção de tomar medidas contra indivíduos que conduzem ou publicam suas pesquisas de segurança" .

A declaração contradisse diretamente a linguagem da Unidade de Crimes Digitais (DCU) do artigo de 27 de maio. A Microsoft tentou enquadrar sua comunicação anterior como uma declaração geral sobre as práticas de divulgação coordenada, em vez de uma ameaça específica contra Nightmare Eclipse .

O blog de tecnologia alemão BornCity descreveu a reversão como a Microsoft "recuando um pouco" após o "turbilhão" desencadeado pela postagem do MSRC . A publicação do setor iTnews relatou que a medida "veio após uma forte reação negativa dos pesquisadores de segurança" .

O que o recuo realmente significa

A declaração de 2 de junho é melhor compreendida como uma medida de controle de danos, não como uma reformulação de política. A Microsoft não se comprometeu a mudar suas expectativas de divulgação de vulnerabilidades, nem abordou as alegações subjacentes do pesquisador sobre relatórios mal administrados e recompensas não pagas. A empresa recuou da ameaça legal, mantendo sua posição de que a divulgação descoordenada é irresponsável .

As reações da comunidade de pesquisa refletiram esse ceticismo. Muitos viram o esclarecimento como um recuo tático motivado pela pressão pública, em vez de um compromisso genuíno com a proteção dos direitos dos pesquisadores . O status não resolvido de YellowKey, GreenPlasma e MiniPlasma — todas ainda sem correção no início de junho — continuou a alimentar críticas de que as prioridades da Microsoft estavam desalinhadas .

O episódio expôs profundas tensões nas normas de divulgação de vulnerabilidades. A divulgação coordenada depende de confiança: pesquisadores reportam bugs em sigilo, e os fornecedores os corrigem em um prazo razoável. Quando qualquer um dos lados percebe uma quebra nesse acordo — seja por relatórios ignorados, recompensas retidas ou ameaças legais — todo o sistema se torna frágil. Três fatores forçaram a mão da Microsoft: o volume e a rapidez da indignação da comunidade; a ameaça do pesquisador de um vazamento ainda maior em 14 de julho; e a imagem desconfortável de ameaçar com ações legais enquanto suas próprias correções permaneciam incompletas.