Patch Tuesday de dezembro aborda falha zero day ativa no Windows

A Microsoft publicou o seu conjunto de atualizações de segurança de dezembro de 2025, que inclui correções para 57 vulnerabilidades em vários produtos da empresa. Entre as falhas resolvidas, três são classificadas como zero day, embora apenas uma esteja, neste momento, a ser explorada ativamente.

A vulnerabilidade já em uso por agentes maliciosos, rastreada como CVE-2025-62221, afeta o driver Mini Filter do Windows Cloud Files e resulta de um erro de use-after-free. Caso seja explorada com sucesso, permite a elevação de privilégios até ao nível Sistema, concedendo controlo quase total sobre o dispositivo comprometido. A Microsoft confirmou a existência de ataques reais, mas não divulgou detalhes sobre os métodos utilizados.

Outra falha no mesmo driver, identificada como CVE-2025-62452, também foi corrigida e poderá ser alvo de exploração futura, uma vez que conduz ao mesmo tipo de elevação de privilégios.

As atualizações deste mês incluem ainda correções para duas vulnerabilidades de injeção de comandos que possibilitam execução remota de código: uma no Copilot para JetBrains (CVE-2025-64671) e outra no PowerShell (CVE-2025-54100). Ambas já tinham sido divulgadas publicamente antes da disponibilização dos patches, mas a Microsoft considera menos provável que venham a ser usadas em ataques.

O pacote de dezembro também aborda 13 falhas no Microsoft Office, duas das quais classificadas como críticas: CVE-2025-62554 e CVE-2025-62557. Trata-se de problemas de type confusion e use-after-free que podem permitir execução remota de código se a vítima for induzida a interagir com conteúdo malicioso. Em alguns cenários, bastará que o email malicioso seja carregado automaticamente no Painel de Visualização para que o ataque seja desencadeado, sem ser necessário qualquer ação do utilizador.

Segundo a empresa, “num cenário de ataque via email, o atacante pode enviar uma mensagem especialmente manipulada e obter execução remota de código mesmo sem que a vítima abra ou clique no conteúdo”.

Com estas atualizações, o total de vulnerabilidades corrigidas pela Microsoft em 2025 aproxima-se das 1.200 falhas, marcando o segundo ano consecutivo em que a empresa ultrapassa as mil correções anuais.