Falha Crítica no Windows Installer Permite Escalação de Privilégios para SYSTEM

A falha CVE-2025-27727 no Windows Installer não é um bug de memória, mas sim uma vulnerabilidade lógica insidiosa. Ela explora a confiança do serviço msiexec.exe, que roda com privilégios de SYSTEM, na chave de registro TempPackages. Um atacante com poucas permissões pode encadear chamadas COM específicas para manipular essa chave. Começa com MsiBeginTransactionW, segue com SetEEUIDirectoryAndFilter e termina com CleanupTempPackages, forçando o serviço a apagar diretórios arbitrários como SYSTEM.

O pulo do gato para a execução de código SYSTEM está no diretório C:\Config.Msi. Ele é usado pelo Windows Installer para guardar scripts de rollback de instalações. Manipulando o serviço para apagar e recriar C:\Config.Msi com permissões controladas, o atacante consegue injetar scripts maliciosos. Quando uma instalação falha, o serviço tenta reverter as mudanças usando esses scripts, dando ao atacante execução de código com os mais altos privilégios. Essa técnica ressalta a complexidade de proteger sistemas operacionais, como já alertamos em "Ataques de Escalada de Privilégios e Persistência no Windows Ganham Novas Táticas", de 8 de julho de 2026, sobre a evolução de táticas em ambientes Windows.

A principal mudança aqui é a disponibilização de detalhes técnicos aprofundados sobre a exploração. A Microsoft já havia corrigido esta falha crítica em abril de 2025. Agora, com a análise da Exodus Intelligence, a comunidade de segurança tem um mapa detalhado de como a vulnerabilidade funciona. Isso permite que equipes de resposta a incidentes entendam os vetores de ataque e aprimorem suas defesas. O que era uma falha corrigida, mas com detalhes públicos limitados, agora é uma ameaça tecnicamente documentada.

Essa falha sublinha um risco persistente em sistemas operacionais: a escalada de privilégios. Ter um usuário comum obtendo controle total sobre uma máquina Windows é o sonho de qualquer atacante e o pesadelo de qualquer empresa. Ataques como este abrem portas para a disseminação de malwares, roubo de dados ou a desabilitação completa de sistemas. Para gestores de TI e CISOs, a lição é clara: patches devem ser aplicados diligentemente, atividades incomuns em diretórios e chaves de registro sensíveis precisam ser monitoradas, e a lógica por trás dos serviços do sistema deve ser compreendida para uma defesa eficaz.