Os Seis Exploits que Abalaram a Segurança do Windows: Linha do Tempo do Caso Nightmare-Eclipse

No início de abril de 2026, um pesquisador de segurança usando os codinomes Nightmare-Eclipse, Chaotic Eclipse e Dead Eclipse lançou um ataque extraordinário contra o Microsoft Windows. Em seis semanas, ele publicou códigos de exploração para seis vulnerabilidades zero-day. O objetivo não era lucrar ou construir uma reputação, mas sim um protesto retaliatório contra o Centro de Resposta de Segurança da Microsoft (MSRC) . A campanha forçou a Microsoft a lançar correções de emergência, acionou diretrizes urgentes da CISA e deixou três falhas críticas sem correção, expondo milhões de máquinas a ataques ativos .

Empresas como Barracuda e ThreatLocker descreveram a ação mais como uma rixa pessoal crescente do que uma divulgação coordenada . A linha do tempo expõe vulnerabilidades tanto nos produtos da Microsoft quanto na sua relação com pesquisadores independentes, oferecendo um forte estudo de caso sobre como um único indivíduo insatisfeito pode perturbar todo o ecossistema de segurança.

Cronologia dos Seis Exploits

A linha do tempo a seguir detalha cada divulgação, o status da correção e a resposta institucional.

Data	Evento
3 de Abril	BlueHammer — um exploit de escalonamento de privilégio local (LPE) que concede acesso de SISTEMA via Microsoft Defender — é publicado no GitHub com a mensagem "Eu não estava blefando" .
7 de Abril	BlueHammer é divulgado publicamente com uma prova de conceito (PoC) completa .
~10 de Abril	A exploração ativa é observada a partir de uma infraestrutura geolocalizada na Rússia, segundo Barracuda e Huntress .
14 de Abril	A Microsoft lança sua "Patch Tuesday" de abril, corrigindo o BlueHammer como CVE-2026-33825 (CVSS 7.8) .
16 de Abril	RedSun (LPE via o mecanismo de reversão de arquivos na nuvem do Defender) e UnDefend (desabilita as atualizações de assinatura do Defender) são divulgados. A Huntress confirma que todos os três exploits do Defender estão sob ataque ativo .
~17 de Abril	A CISA adiciona o CVE-2026-41091 (RedSun) e o CVE-2026-45498 (UnDefend) ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), exigindo que agências federais apliquem a correção até 3 de junho .
12 de Maio	YellowKey (que burla o BitLocker via WinRE) e GreenPlasma (escalonamento de privilégio via CTFMON) são divulgados, um dia após o Patch Tuesday de maio .
17 de Maio	MiniPlasma é divulgado — uma falha de escalonamento de privilégio para nível de SISTEMA no Windows 11 totalmente atualizado .
19 de Maio	A ThreatLocker confirma que o MiniPlasma funciona em sistemas com todas as atualizações aplicadas .
21 de Maio	A Microsoft lança correções emergenciais (fora do ciclo normal) para o RedSun e o UnDefend .
~23 de Maio	O GitHub encerra a conta do Nightmare-Eclipse .
~26 a 27 de Maio	O GitLab encerra as contas associadas ao pesquisador .
27 de Maio	A Microsoft publica um artigo "Uma responsabilidade compartilhada", condenando as divulgações e alertando sobre possíveis ações legais por parte de sua Unidade de Crimes Digitais .
14 de Julho (Ameaça)	O pesquisador ameaça uma nova divulgação em massa de exploits nesta data .

Resumo dos Exploits e Status de Correção

Três das seis vulnerabilidades foram corrigidas até o final de maio de 2026. Outras três permanecem sem solução, com o MiniPlasma representando o risco operacional mais imediato.

Nome do Exploit	Tipo / Alvo	CVE	CVSS	Status da Correção
BlueHammer	LPE no Microsoft Defender → SISTEMA	CVE-2026-33825	7.8	Corrigido — Patch Tuesday de 14 de abril
RedSun	LPE no Microsoft Defender	CVE-2026-41091	7.8	Corrigido — Fora do ciclo, em 21 de maio
UnDefend	Desabilita atualizações de assinatura do Defender	CVE-2026-45498	N/A	Corrigido — Fora do ciclo, em 21 de maio
YellowKey	Burla o BitLocker via WinRE	CVE-2026-45585	6.8	Não Corrigido — apenas guia de mitigação
GreenPlasma	Escalonamento via CTFMON para SISTEMA	Não atribuído	N/A	Não Corrigido
MiniPlasma	LPE para SISTEMA no Windows 11 totalmente atualizado	Não atribuído	N/A	Não Corrigido — confirmado pela ThreatLocker

O MiniPlasma é especialmente perigoso porque permite que um usuário comum obtenha privilégios de SISTEMA em um sistema com todas as atualizações de maio de 2026 aplicadas . Ele explora o mesmo driver cldflt.sys (Arquivos em Nuvem) que o BlueHammer usou, reativando uma vulnerabilidade de 2020 que o pesquisador alega que a Microsoft nunca corrigiu totalmente .

A Motivação do Pesquisador: Um Protesto Contra o MSRC

O pesquisador descreveu explicitamente as divulgações como uma retaliação pelo mau tratamento recebido do MSRC. Declarações públicas indicam que envios privados anteriores foram ignorados, tratados com lentidão, ou alvo de exigências consideradas excessivas pelo pesquisador — incluindo, segundo relatos, um pedido para uma demonstração em vídeo do exploit . Uma alegação recorrente atribuída ao pesquisador afirma que o MSRC ameaçou "arruinar minha vida e eles conseguiram" .

O momento dos últimos lançamentos — um dia após o Patch Tuesday — foi claramente planejado para maximizar a exposição e a pressão. YellowKey e GreenPlasma foram lançados em 12 de maio, imediatamente após o ciclo de correções da Microsoft, e o MiniPlasma veio em 17 de maio .

A Resposta da Microsoft e a Ameaça Legal

Em 27 de maio, a Microsoft publicou um artigo intitulado "Uma responsabilidade compartilhada: Protegendo os clientes através da divulgação coordenada de vulnerabilidades" . O texto:

• Nomeou todos os seis exploits e afirmou que não foram "divulgados de forma responsável" .
• Instou a comunidade de segurança a seguir as práticas de Divulgação Coordenada de Vulnerabilidades (CVD).
• Incluiu uma ameaça velada da Unidade de Crimes Digitais da Microsoft, alertando que a divulgação pública de exploits pode ter consequências legais .

A linguagem da Microsoft escalou o conflito, mas não resolveu o problema central: três zero-days permaneciam sem correção. As plataformas que hospedavam o código também agiram: o GitHub por volta de 23 de maio, e o GitLab alguns dias depois, encerrando as contas do pesquisador .

Exploração Ativa e Alertas Institucionais

Em meados de abril, todos os três exploits iniciais do Defender já estavam sob exploração ativa. Huntress e Barracuda identificaram agentes maliciosos usando o código de prova de conceito diretamente de repositórios públicos do GitHub e se aproveitando de uma infraestrutura com geolocalização na Rússia .

A CISA reagiu rapidamente. O BlueHammer foi adicionado ao catálogo KEV em 22 de abril, com um prazo para correção até 6 de maio para agências federais . RedSun e UnDefend foram adicionados posteriormente, com prazo até 3 de junho . Essas medidas refletem uma preocupação profunda: quando as próprias ferramentas de segurança se tornam o vetor de ataque, os modelos tradicionais de defesa se quebram.

Reação da Comunidade: Um Processo de Divulgação Falido

A comunidade de cibersegurança reagiu com opiniões divididas.

As críticas ao pesquisador vieram da Barracuda, ThreatLocker e LevelBlue, que caracterizaram a campanha como perigosa e contraproducente . Divulgar publicamente exploits funcionais colocou usuários corporativos em risco imediato, sem que houvesse uma correção disponível.

As críticas à Microsoft foram igualmente contundentes. Muitos especialistas notaram que toda a situação poderia ter sido evitada com um processo mais respeitoso e ágil por parte do MSRC. As divulgações reavivaram queixas antigas: triagem lenta, comunicação opaca e uma postura adversária contra pesquisadores que não se encaixam no modelo corporativo de recompensas .

Um ponto que chamou a atenção foi o fato de a Microsoft ameaçar com ações legais enquanto três exploits permaneciam sem correção — uma atitude que comentaristas chamaram de teatral e com prioridades equivocadas .

O Que Vem a Seguir

O pesquisador ficou em silêncio, mas não parou. Após perder o acesso às plataformas, ele passou a operar a partir de um blog pessoal e ameaçou explicitamente uma nova divulgação em massa em 14 de julho — a data do próximo Patch Tuesday. Não se sabe se a ameaça é real, mas o padrão está estabelecido.

Para as equipes de segurança, a prioridade imediata é clara: aplicar as correções emergenciais do Defender, implementar as mitigações para o YellowKey (removendo a entrada autofstx.exe do valor BootExecute e habilitando TPM+PIN para o BitLocker) e tratar o MiniPlasma como uma ameaça ativa sem solução oficial. É preciso monitorar o lançamento de novas provas de conceito perto dos próximos Patch Tuesdays e preparar controles de compensação para componentes do Defender que os invasores agora miram sistematicamente.

O episódio Nightmare-Eclipse não se trata apenas de seis vulnerabilidades. É um teste de estresse para a relação entre os grandes fornecedores de plataformas e os pesquisadores de quem eles tanto dependem. Quando essa relação se rompe, as consequências são públicas, fáceis de explorar e severas.