Falha no Microsoft Defender já é usada para ransomware

A Cybersecurity and Infrastructure Security Agency (CISA) confirmou que grupos de ransomware começaram a explorar uma vulnerabilidade de elevada gravidade no Microsoft Defender, reforçando a urgência da aplicação das atualizações de segurança disponibilizadas pela Microsoft.

Identificada como CVE-2026-33825 e conhecida como BlueHammer, a falha permite a um utilizador autenticado elevar privilégios localmente devido a um controlo de acessos insuficientemente granular no Microsoft Defender. Uma vez explorada, pode dar acesso à base de dados Security Account Manager (SAM), que contém os hashes das palavras-passe das contas locais, permitindo aos atacantes obter privilégios de SYSTEM e assumir o controlo do equipamento.

A vulnerabilidade foi divulgada no início de abril pelo investigador de segurança conhecido como "Nightmare Eclipse", que publicou também um código de prova de conceito. A Microsoft corrigiu a falha na atualização de segurança de abril de 2026 (Patch Tuesday), mas poucos dias depois investigadores da Huntress revelaram que esta já estava a ser explorada como zero-day em ataques reais.

A CISA incluiu a CVE-2026-33825 no catálogo Known Exploited Vulnerabilities (KEV) em abril, exigindo às agências federais norte-americanas a aplicação das correções no prazo de duas semanas. Agora, a agência atualizou novamente o catálogo para indicar que a vulnerabilidade está também a ser utilizada em campanhas de ransomware.

Segundo a CISA, este tipo de vulnerabilidade constitui um vetor de ataque frequente para cibercriminosos e representa um risco significativo para as organizações.

Nos últimos anos, a agência norte-americana identificou oito vulnerabilidades no Microsoft Defender exploradas em ataques reais, duas das quais foram igualmente utilizadas por grupos de ransomware. A Microsoft, contudo, ainda não assinalou oficialmente a CVE-2026-33825 como explorada em campanhas de ransomware.