Os Três Zero-Days Divulgados Publicamente

Um ponto crucial: nenhuma das três vulnerabilidades zero-day era conhecida por ter sido explorada ativamente antes do lançamento dos patches .

CVE-2026-45586 — Elevação de Privilégio no CTFMON (GreenPlasma)

Esta é uma falha de "seguimento de link" no Collaborative Translation Framework (CTFMON) do Windows. Ela permite que um invasor autenticado, com acesso local ao sistema, escale privilégios para o nível SYSTEM. A Microsoft listou o descobridor como anônimo, mas pesquisadores de segurança rapidamente conectaram a falha ao exploit “GreenPlasma”, divulgado pelo pesquisador conhecido como Nightmare Eclipse (também chamado de “Chaotic Eclipse” pela comunidade). A divulgação foi parte de uma campanha para protestar contra os programas de recompensa por bugs e divulgação de vulnerabilidades da Microsoft .

CVE-2026-49160 — Negação de Serviço no HTTP.sys (A “Bomba HTTP/2”)

Essa é uma vulnerabilidade de consumo descontrolado de recursos (CWE-400) na pilha de protocolo HTTP/2, com uma pontuação CVSS de 7.5. Um invasor remoto não autenticado pode explorar a falha enviando uma pequena quantidade de dados que força o servidor a alocar uma quantidade desproporcional de memória. Ao manipular as configurações de controle de fluxo do HTTP/2, o invasor pode manter essa memória ocupada indefinidamente . Descoberta por Quang Luong e Codex da Calif.io, o ataque pode derrubar servidores web afetados em questão de segundos . Para mitigar o problema, a Microsoft introduziu uma nova configuração no registro do Windows, chamada MaxHeadersCount (documentada na KB5102602), para limitar os cabeçalhos de solicitações HTTP/2 e HTTP/3 .

CVE-2026-50507 — Burla do Recurso de Segurança do BitLocker (YellowKey)

É uma falha no mecanismo de proteção que permite a um invasor não autenticado, com acesso físico ao dispositivo, burlar a criptografia do BitLocker. O ataque explora o Ambiente de Recuperação do Windows (Windows Recovery Environment) em unidades protegidas apenas pelo chip TPM. Este é o segundo exploit da campanha de Nightmare Eclipse corrigido neste mês, conhecido publicamente como “YellowKey” .

A Campanha Nightmare Eclipse

O pesquisador Nightmare Eclipse lançou publicamente uma série de zero-days do Windows — com nomes como BlueHammer, MiniPlasma, RedSun, UnDefend, GreenPlasma e YellowKey — como forma de protesto contra a maneira como a Microsoft gerencia seu programa de recompensas por bugs. Embora os patches de junho tenham resolvido o GreenPlasma e o YellowKey, outros três exploits da mesma campanha (BlueHammer, RedSun e UnDefend) foram relatados como ativamente explorados no início de junho, o que levou a CISA (Cybersecurity and Infrastructure Security Agency, a agência americana de segurança cibernética) a adicioná-los ao seu catálogo de Vulnerabilidades Exploradas Conhecidas .

Novidades nas Atualizações Cumulativas do Windows 11

As atualizações obrigatórias de junho para o Windows 11 trouxeram mais do que apenas correções de segurança. Duas atualizações cumulativas principais foram lançadas: a KB5094126 para as versões 25H2 (build 26200.8457) e 24H2 (build 26100.8457), e a KB5093998 para a versão 23H2 (build 22631.7079) . A Microsoft também disponibilizou uma atualização de segurança estendida, a KB5094127, para o Windows 10 .

Os principais novos recursos da atualização do Windows 11 incluem :

• Modo Xbox: Uma funcionalidade que oferece uma experiência semelhante à de um console Xbox diretamente no PC, agora disponível para mais dispositivos.
• Áudio Compartilhado: Permite que duas pessoas ouçam o mesmo fluxo de áudio de um PC simultaneamente usando a tecnologia Bluetooth LE Áudio.
• Monitoramento de NPU no Gerenciador de Tarefas: O aplicativo agora exibe o uso da Unidade de Processamento Neural (NPU), memória dedicada/compartilhada e outras métricas.
• Câmera Multiaplicativo: Permite que múltiplos aplicativos acessem o fluxo da câmera ao mesmo tempo.
• Melhorias de Desempenho: Um novo perfil de baixa latência acelera a inicialização de aplicativos e interações com a interface do sistema, como o Menu Iniciar, Pesquisa e Central de Ações.
• Melhorias na Instalação: Os usuários agora podem escolher um nome personalizado para a pasta do seu perfil durante a configuração do Windows.

Cenário de Segurança Mais Amplo: Adobe Também Entra em Ação

No mesmo dia, a Adobe lançou 11 avisos de segurança, corrigindo 123 vulnerabilidades em produtos como Acrobat Reader, ColdFusion, InDesign e Experience Manager. Dessas, 47 foram classificadas como Críticas e poderiam levar à execução arbitrária de código, elevação de privilégio ou negação de serviço .

Combinadas, Microsoft e Adobe lançaram correções para um total de 329 vulnerabilidades no dia 9 de junho de 2026 . O ecossistema mais amplo também viu ação, com o Google corrigindo impressionantes 360 falhas no Microsoft Edge/Chromium no início do mês — vulnerabilidades que não entram na contagem padrão do Patch Tuesday .

Os Três Zero-Days Divulgados Publicamente

Um ponto crucial: nenhuma das três vulnerabilidades zero-day era conhecida por ter sido explorada ativamente antes do lançamento dos patches .

CVE-2026-45586 — Elevação de Privilégio no CTFMON (GreenPlasma)

Esta é uma falha de "seguimento de link" no Collaborative Translation Framework (CTFMON) do Windows. Ela permite que um invasor autenticado, com acesso local ao sistema, escale privilégios para o nível SYSTEM. A Microsoft listou o descobridor como anônimo, mas pesquisadores de segurança rapidamente conectaram a falha ao exploit “GreenPlasma”, divulgado pelo pesquisador conhecido como Nightmare Eclipse (também chamado de “Chaotic Eclipse” pela comunidade). A divulgação foi parte de uma campanha para protestar contra os programas de recompensa por bugs e divulgação de vulnerabilidades da Microsoft .

CVE-2026-49160 — Negação de Serviço no HTTP.sys (A “Bomba HTTP/2”)

Essa é uma vulnerabilidade de consumo descontrolado de recursos (CWE-400) na pilha de protocolo HTTP/2, com uma pontuação CVSS de 7.5. Um invasor remoto não autenticado pode explorar a falha enviando uma pequena quantidade de dados que força o servidor a alocar uma quantidade desproporcional de memória. Ao manipular as configurações de controle de fluxo do HTTP/2, o invasor pode manter essa memória ocupada indefinidamente . Descoberta por Quang Luong e Codex da Calif.io, o ataque pode derrubar servidores web afetados em questão de segundos . Para mitigar o problema, a Microsoft introduziu uma nova configuração no registro do Windows, chamada MaxHeadersCount (documentada na KB5102602), para limitar os cabeçalhos de solicitações HTTP/2 e HTTP/3 .

CVE-2026-50507 — Burla do Recurso de Segurança do BitLocker (YellowKey)

É uma falha no mecanismo de proteção que permite a um invasor não autenticado, com acesso físico ao dispositivo, burlar a criptografia do BitLocker. O ataque explora o Ambiente de Recuperação do Windows (Windows Recovery Environment) em unidades protegidas apenas pelo chip TPM. Este é o segundo exploit da campanha de Nightmare Eclipse corrigido neste mês, conhecido publicamente como “YellowKey” .

A Campanha Nightmare Eclipse

O pesquisador Nightmare Eclipse lançou publicamente uma série de zero-days do Windows — com nomes como BlueHammer, MiniPlasma, RedSun, UnDefend, GreenPlasma e YellowKey — como forma de protesto contra a maneira como a Microsoft gerencia seu programa de recompensas por bugs. Embora os patches de junho tenham resolvido o GreenPlasma e o YellowKey, outros três exploits da mesma campanha (BlueHammer, RedSun e UnDefend) foram relatados como ativamente explorados no início de junho, o que levou a CISA (Cybersecurity and Infrastructure Security Agency, a agência americana de segurança cibernética) a adicioná-los ao seu catálogo de Vulnerabilidades Exploradas Conhecidas .

Novidades nas Atualizações Cumulativas do Windows 11

As atualizações obrigatórias de junho para o Windows 11 trouxeram mais do que apenas correções de segurança. Duas atualizações cumulativas principais foram lançadas: a KB5094126 para as versões 25H2 (build 26200.8457) e 24H2 (build 26100.8457), e a KB5093998 para a versão 23H2 (build 22631.7079) . A Microsoft também disponibilizou uma atualização de segurança estendida, a KB5094127, para o Windows 10 .

Os principais novos recursos da atualização do Windows 11 incluem :

• Modo Xbox: Uma funcionalidade que oferece uma experiência semelhante à de um console Xbox diretamente no PC, agora disponível para mais dispositivos.
• Áudio Compartilhado: Permite que duas pessoas ouçam o mesmo fluxo de áudio de um PC simultaneamente usando a tecnologia Bluetooth LE Áudio.
• Monitoramento de NPU no Gerenciador de Tarefas: O aplicativo agora exibe o uso da Unidade de Processamento Neural (NPU), memória dedicada/compartilhada e outras métricas.
• Câmera Multiaplicativo: Permite que múltiplos aplicativos acessem o fluxo da câmera ao mesmo tempo.
• Melhorias de Desempenho: Um novo perfil de baixa latência acelera a inicialização de aplicativos e interações com a interface do sistema, como o Menu Iniciar, Pesquisa e Central de Ações.
• Melhorias na Instalação: Os usuários agora podem escolher um nome personalizado para a pasta do seu perfil durante a configuração do Windows.

Cenário de Segurança Mais Amplo: Adobe Também Entra em Ação

No mesmo dia, a Adobe lançou 11 avisos de segurança, corrigindo 123 vulnerabilidades em produtos como Acrobat Reader, ColdFusion, InDesign e Experience Manager. Dessas, 47 foram classificadas como Críticas e poderiam levar à execução arbitrária de código, elevação de privilégio ou negação de serviço .

Combinadas, Microsoft e Adobe lançaram correções para um total de 329 vulnerabilidades no dia 9 de junho de 2026 . O ecossistema mais amplo também viu ação, com o Google corrigindo impressionantes 360 falhas no Microsoft Edge/Chromium no início do mês — vulnerabilidades que não entram na contagem padrão do Patch Tuesday .