Microsoft tenta conter temores de ameaças legais após repercussão sobre divulgação de zero-day

A Microsoft está sob fogo cruzado por uma falha estrutural em sua política de disclosure: enquanto o pesquisador Nightmare Eclipse divulgou PoCs para seis zero-days, incluindo RedSun (CVE-2026-41091), UnDefend (CVE-2026-45498) e YellowKey (CVE-2026-45585) , , a empresa respondeu com uma menção à sua Digital Crimes Unit em 27 de maio, interpretada como ameaça legal. A reação foi imediata: comunidade de segurança acusou a Microsoft de criminalizar pesquisa legítima. Em 1º de junho, a empresa recuou publicamente no X, mas com uma ressalva crítica: não processará pesquisadores 'legítimos', embora mantenha o direito de agir contra quem cause 'danos reais'. O problema é que essa linha divisória é subjetiva, e já foi usada para justificar o banimento das contas do pesquisador no GitHub e no portal MSRC, mesmo após ele ter relatado vulnerabilidades válidas.

RedSun, por exemplo, permite que um atacante com privilégios locais baixos obtenha acesso de SISTEMA via manipulação do mecanismo de reversão de arquivos do Defender, e foi corrigida só em 19-20 de maio, depois de estar no KEV da CISA desde então. Já YellowKey, que ignora BitLocker com uma unidade USB e shell no WinRE, ainda não tem correção oficial: só mitigação via script para remover autofstx.exe do ambiente de recuperação. Isso mostra que a Microsoft não está apenas lidando com um pesquisador irritado, mas com uma cadeia de falhas operacionais: relatos ignorados, atribuições removidas, compensações negadas e patches tardios, tudo enquanto vulnerabilidades críticas são exploradas ativamente.

A cobertura anterior do CEVIU, de 4 de junho, reportou a recusa inicial da Microsoft em garantir imunidade jurídica a pesquisadores, citando apenas 'atividades maliciosas' como limite. Agora, com o comunicado de 1º de junho, a empresa formalizou uma mudança de postura: passou de 'não comentar' para 'não processar pesquisadores legítimos', mesmo sem definir objetivamente o que é 'legítimo'. Essa evolução veio diretamente sob pressão da comunidade e da exposição pública do caso RedSun, que já estava no catálogo KEV da CISA desde 20 de maio. Antes, a Microsoft tratava cada divulgação não coordenada como risco; agora, reconhece que o risco maior vem da falta de confiança mútua com pesquisadores, mas ainda não ajustou seu processo interno de resposta, como mostram os casos de BlueHammer e UnDefend, cujas correções vieram tardiamente e sem transparência sobre por que demoraram.

Empresas brasileiras que usam Windows Server 2025, Windows 11 24H2 ou dependem do Microsoft Defender estão expostas hoje a ataques reais: UnDefend já é explorada para desabilitar proteção em tempo real sem alerta, e YellowKey permite bypass físico do BitLocker em ambientes sensíveis, como data centers ou máquinas virtuais de compliance. A disputa entre a Microsoft e Nightmare Eclipse não é teórica: ela revela uma lacuna prática na gestão de vulnerabilidades. Enquanto o modelo de Coordinated Vulnerability Disclosure (CVD) continua sendo pregado como padrão, a ausência de SLA claro para análise, feedback ou compensação leva pesquisadores a escolherem divulgação pública, o que aumenta o tempo de exposição dos clientes. Para equipes de segurança no Brasil, isso significa: não basta aplicar patches; é preciso monitorar KEV da CISA, validar se mitigação manual (como o script para YellowKey) foi implantada e rever políticas internas de uso de BitLocker e Defender em ambientes físicos e virtuais.