Vulnerabilidade Crítica no Windows Permite Execução de Código em Nível SYSTEM

A vulnerabilidade CVE-2026-66804 expõe uma falha crítica no Windows, permitindo a execução de código no nível SYSTEM. A raiz do problema é um objeto COM “órfão” (CrossDevice COM object), registrado no sistema mas sem a DLL associada. Essa DLL deveria estar em uma pasta de gravação comum (%PROGRAMDATA%), onde qualquer usuário pode criar arquivos. Assim, um invasor pode plantar sua própria DLL maliciosa nesse local.

Para ativar a DLL, o ataque usa o recurso de “custom marshaling” do COM, enviando um objeto manipulado a um serviço privilegiado. O alvo é o Shell Create Object Handler, um servidor COM que opera com privilégios de SYSTEM e não desativa o custom marshaling. Esse handler pode ser ativado por usuários comuns por meio de uma tarefa agendada específica, permitindo que a DLL maliciosa seja carregada no processo SYSTEM, resultando em escalonamento de privilégios.

Essa nova vulnerabilidade, CVE-2026-66804, é na verdade uma correção incompleta para a falha anterior CVE-2026-50343, conhecida como “Dark Elevator”. Enquanto a versão original explorava permissões fracas no registro e o serviço Windows Installer (um tema já abordado pelo CEVIU News em julho de 2026, com a notícia “Falha Crítica no Windows Installer Permite Escalação de Privilégios para SYSTEM”), a atual se aproveita de uma nova técnica. O ataque agora foca no “custom marshaling” de objetos COM, contornando a correção aplicada ao Installer, mas utilizando o mesmo objeto COM “órfão” original. Os atacantes adaptaram o método de exploração, mas o vetor subjacente persistiu.

Essa falha ressalta a complexidade de erradicar vulnerabilidades em sistemas legados como o Windows. Uma correção incompleta pode reabrir a porta para novos ataques, forçando administradores a uma vigilância contínua. Para empresas, a exploração dessa brecha significa que um usuário com baixos privilégios pode escalar para SYSTEM, assumindo controle total do sistema. Isso compromete a integridade dos dados, a confidencialidade e a disponibilidade, facilitando a implantação de malware persistente e a evasão de defesas. É um lembrete severo da necessidade de políticas de segurança robustas e configuração precisa de serviços COM.