Windows Shell: bypass de Mark of the Web explorado em ambiente real

Resumo

Em 13 de outubro de 2026, a Microsoft publicou as atualizações de segurança de outubro, incluindo a correção da CVE-2026-96951, uma falha no Windows Shell que permite contornar o Mark of the Web (MOTW). A Microsoft confirmou exploração em ambiente real antes da correção — a falha era um zero-day. A CISA incluiu o CVE no catálogo Known Exploited Vulnerabilities (KEV) no mesmo dia, com prazo de remediação em 16 de outubro de 2026 para agências federais dos Estados Unidos.

O ataque exige interação do usuário: o arquivo precisa ser aberto. Não se trata de execução automática a partir de tráfego de rede. O impacto é a remoção de uma barreira de segurança que normalmente aciona avisos, abre documentos em Visualização Protegida ou bloqueia a execução de conteúdo baixado da internet. Uma vez contornado o MOTW, o conteúdo malicioso pode ser executado com menos restrições, dependendo do arquivo entregue e das demais defesas do ambiente.

Em 26 de outubro de 2026, o CTIR Gov publicou o Alerta 95/2026, recomendando que as instituições identifiquem versões vulneráveis e apliquem imediatamente as correções. No mesmo dia, a Microsoft revisou o advisory para incluir o Microsoft Edge na tabela de atualizações, com build corrigido 154.0.4258.62.

Por que este alerta é prioritário

• Exploração em ambiente real confirmada pelo fornecedor e inclusão no catálogo KEV da CISA.
• Base instalada ampla: Windows 10, Windows 11 e edições de servidor desde o Server 2012 R2 até o Server 2025, incluindo instalações Server Core.
• O MOTW sustenta controles como Visualização Protegida do Office, avisos do SmartScreen e restrições a macros; contorná-lo enfraquece várias camadas de defesa contra phishing e entrega de arquivos maliciosos.
• EPSS de 9,81% (percentil 95,52%) na consulta do CTIR Gov em 26 de outubro de 2026, indicando probabilidade relevante de tentativas de exploração nos próximos 30 dias.

Gravidade e exposição

Status de exploração: a Microsoft confirmou exploração em ambiente real e a CISA adicionou o CVE ao KEV em 13 de outubro de 2026, com prazo de remediação em 16 de outubro de 2026. O uso em campanhas de ransomware consta como desconhecido no KEV. Não há atribuição pública de atores, organizações alvo ou infraestrutura de campanha. Até 14 de outubro de 2026, as fontes consultadas não documentavam um PoC público completo; a exploração confirmada não depende da existência de PoC público.

O risco é maior em estações que recebem anexos, mensagens e downloads de fontes externas, e em postos administrativos. Servidores devem ser avaliados pelo uso: instalações Server Core não estão imunes apenas por não terem a interface gráfica completa, e qualquer fluxo que processe arquivos externos merece prioridade.

Detalhes técnicos

O Mark of the Web é o mecanismo que registra a origem de arquivos obtidos da internet ou de outras fontes não confiáveis. Em volumes NTFS, o Windows associa ao arquivo um fluxo de dados alternativo chamado Zone.Identifier; um valor ZoneId=3, por exemplo, indica a zona da internet. O MOTW não é um antivírus: ele fornece informação de origem para que o Windows, o Office, o SmartScreen e outros componentes decidam se aplicam avisos, Visualização Protegida ou restrições.

A Microsoft descreve a CVE-2026-96951 como uma falha de neutralização imprópria de elementos especiais usados em comando (CWE-77) no Windows Shell. Um arquivo especialmente criado, ao ser aberto, pode fazer com que o Windows não preserve ou não interprete corretamente a informação de origem do conteúdo. Com isso, o arquivo deixa de ser tratado como proveniente da internet e as proteções associadas ao MOTW podem não ser aplicadas. A Microsoft não publicou a análise completa da causa raiz.

O cenário de entrega descrito pelo fornecedor é de engenharia social: em e-mail ou mensagem instantânea, o atacante envia um arquivo especialmente criado; alternativamente, convence a vítima a baixar e abrir conteúdo de um site controlado. O atacante não consegue forçar a abertura, mas, uma vez que a vítima interage com o arquivo, as defesas baseadas no MOTW podem ser contornadas.

Regras de detecção de terceiros dão uma pista sobre um caminho observado: as assinaturas Snort SID 67319 e 67320 associam a falha a arquivos de configuração do Windows que fazem referência ao Windows Terminal e descrevem possível execução arbitrária de comandos. Isso é uma pista de investigação, não a confirmação de que toda exploração usa o mesmo formato de arquivo ou a mesma sequência de comandos.

O MITRE ATT&CK classifica a técnica como T1553.005 (Subvert Trust Controls: Mark-of-the-Web Bypass). Controles que dependem exclusivamente da presença do MOTW devem ser tratados como uma camada entre várias, não como prova de que um arquivo é seguro.

Versões afetadas e correção

Os builds acima refletem o Guia de Atualizações de Segurança da Microsoft em 27 de outubro de 2026. Atualizações cumulativas posteriores substituem as listadas; o que importa é o build efetivo igual ou superior ao corrigido para a linha em uso. Sistemas fora do ciclo de serviço precisam de ESU ou de atualização de versão para continuar recebendo correções. O Edge foi incluído na revisão 2 do advisory, em 26 de outubro de 2026.

Como verificar

Em Windows, consulte a versão e o build efetivos:

Get-CimInstance Win32_OperatingSystem |
  Select-Object Caption, Version, BuildNumber

Get-HotFix | Sort-Object InstalledOn -Descending |
  Select-Object HotFixID, InstalledOn, Description

A ausência de um KB específico no histórico não prova que o sistema está vulnerável, porque atualizações cumulativas posteriores podem incorporar a correção. Verifique o build e o estado de serviço em ferramentas de gestão, como Intune, WSUS ou Configuration Manager, e não apenas em consultas manuais. No Edge, confira edge://version e garanta versão 154.0.4258.62 ou posterior.

Detecção

Não há evento único do Windows que identifique a exploração desta CVE. A detecção depende de correlacionar a entrega de arquivos externos, a ausência inesperada de metadados de origem e a execução de processos subsequentes. A Microsoft e a CISA não divulgaram IOCs estáticos, como hashes, domínios ou endereços IP, associados às campanhas observadas.

Inspecionar o MOTW

Em um arquivo suspeito, verifique os fluxos alternativos e o conteúdo do Zone.Identifier:

Get-Item -LiteralPath "C:\caminho\arquivo.ext" -Stream *

Get-Content -LiteralPath "C:\caminho\arquivo.ext" -Stream Zone.Identifier

Um arquivo originado da internet normalmente mantém ZoneId=3. A ausência do fluxo não é prova de exploração: operações legítimas e sistemas de arquivos sem suporte a fluxos alternativos podem removê-lo. O sinal relevante é um arquivo suspeito que deveria ter o metadado e não o tem, especialmente quando seguido de execução anômala.

Correlacionar processo e origem

• Use Sysmon Event ID 15 (FileCreateStreamHash) para registrar a criação de fluxos como Zone.Identifier, além dos eventos 11 (FileCreate) e 1 (ProcessCreate).
• Procure processos filhos incomuns de Explorer, Outlook, Teams, Slack ou navegadores, especialmente cmd.exe, powershell.exe, wscript.exe, cscript.exe, mshta.exe, rundll32.exe e regsvr32.exe.
• Priorize execuções a partir de Downloads, Temp, AppData e outros diretórios graváveis por usuários, sobretudo quando o arquivo chegou por e-mail, mensagem ou download minutos antes.
• Verifique persistência criada logo após a abertura do arquivo: tarefas agendadas, chaves de execução, serviços, pastas de inicialização e extensões de navegador.
• Correlacione logs de gateway de e-mail e de web, registros de download e telemetria de endpoint para reconstruir a cadeia.

Rede e inspeção de conteúdo

As regras Snort SID 67319 e 67320 detectam tráfego com arquivos de configuração do Windows que fazem referência ao Windows Terminal e podem indicar tentativa de exploração. Trate os alertas como ponto de partida: confirme o arquivo entregue, o endpoint de destino e a execução subsequente. A ausência de alerta de rede não exclui entrega por e-mail, mensagem ou armazenamento em nuvem.

Preserve arquivos originais, hashes, metadados de download, linhas de comando e a linha do tempo antes de remover artefatos. A análise do MOTW e da árvore de processos é mais confiável do que a busca por indicadores estáticos.

Recomendações

1. Inventarie o parque Windows. Registre versão, build, edição, canal de serviço e tipo de instalação. Inclua servidores, Server Core, VDI, imagens de ouro, estações remotas e sistemas que não recebem atualização automática.
2. Aplique as atualizações de outubro de 2026. Use o KB correspondente à linha ou uma atualização cumulativa posterior; confirme o build efetivo. Atualize o Edge para 154.0.4258.62 ou posterior.
3. Priorize a exposição. Trate primeiro estações que recebem arquivos externos (financeiro, RH, atendimento, diretoria), postos administrativos e servidores que processam conteúdo enviado por usuários.
4. Mantenha as camadas de defesa. Não desative SmartScreen, antivírus ou EDR. Avalie políticas de redução de superfície de ataque (ASR), Application Control/WDAC e bloqueio de execução a partir de diretórios graváveis por usuários.
5. Reforce o filtro de entrega. Bloqueie ou inspecione anexos e downloads de tipos de arquivo de risco, aplique detonação em sandbox e mantenha filtragem de web. Isso reduz a entrega, mas não corrige a falha.
6. Faça hunting retroativo. Revise desde 13 de outubro de 2026 — e antes, se houver suspeita — arquivos externos abertos sem o MOTW esperado, processos filhos incomuns e execuções a partir de diretórios de usuário.
7. Não confunda patch com limpeza. A atualização corrige a vulnerabilidade, mas não remove malware, persistência ou credenciais já comprometidas. Se houver suspeita, isole o endpoint e investigue.
8. Comunique e cumpra prazos. O Alerta 95/2026 do CTIR Gov recomenda aplicação imediata. Órgãos da ReGIC devem observar o Decreto nº 10.748/2021, art. 12, inciso IX. Acione o SOC da GigaCandanga e os canais oficiais aplicáveis.

Mitigação temporária

Não trate a presença do MOTW, avisos do SmartScreen ou treinamento de usuários como compensação suficiente: a falha contorna justamente essa fronteira de confiança.

Resposta a incidentes

Se houver suspeita de exploração, trate o endpoint como potencialmente comprometido. Aplicar a atualização não reverte alterações nem invalida credenciais obtidas antes da correção.

1. Contenha: isole o endpoint da rede, preserve o arquivo original, os fluxos alternativos, os hashes e a linha do tempo. Evite reiniciar ou limpar artefatos antes da coleta.
2. Investigue: reconstrua a cadeia de entrega e execução, revise processos filhos, persistência, conexões de saída, contas utilizadas e acesso a credenciais. Verifique se o mesmo arquivo chegou a outros endpoints.
3. Eradique: remova payloads, persistência e contas criadas; em caso de comprometimento relevante, reconstrua a partir de imagem ou backup confiável. Não confie apenas na exclusão do arquivo inicial.
4. Recupere: redefina senhas, tokens, chaves e sessões acessíveis ao contexto comprometido; valide a configuração e monitore o retorno.
5. Notifique: acione o SOC da GigaCandanga e os canais oficiais (CTIR Gov, CERT.br). Avalie obrigações de notificação de incidente e de proteção de dados pessoais, inclusive sob a LGPD, se houver dados afetados.

Referências

Links externos abrem em nova aba. Consulte sempre a fonte oficial para o status mais recente.

• Microsoft Security Update Guide · CVE-2026-96951 Microsoft MSRC · 13 out. 2026, rev. 26 out. 2026
• NVD · CVE-2026-96951 Detail NIST NVD · 16 out. 2026
• CVE-2026-96951 · Windows Shell Security Feature Bypass Vulnerability CVE Program · 26 out. 2026
• CISA · Known Exploited Vulnerabilities Catalog · CVE-2026-96951 CISA · incluído em 13 out. 2026
• CTIR Gov · Alerta 95/2026: vulnerabilidade crítica no Windows GSI/CTIR Gov · 26 out. 2026
• Tenable · Microsoft’s October 2026 Patch Tuesday addresses 1407 CVEs Tenable · 13 out. 2026
• SOC Prime · CVE-2026-96951: dia zero do Windows Shell ativamente explorável bypassa sinal da web SOC Prime · 14 out. 2026
• Penligent · CVE-2026-96951: Windows Shell zero-day exploited in the wild Penligent · 14 out. 2026
• Cisco Talos · Snort rule SID 67319 Snort · 2026
• Cisco Talos · Snort rule SID 67320 Snort · 2026
• MITRE ATT&CK · T1553.005 Mark-of-the-Web Bypass MITRE · 2026

Outras fontes de consulta para resposta e investigação estão em Links úteis.

Revisão

Revisão 1.0 — 27 de outubro de 2026 — Publicação inicial. Fontes consultadas até 27 de outubro de 2026. O advisory da Microsoft foi revisado em 26 de outubro para incluir o Microsoft Edge; o status de exploração, os builds corrigidos e a inclusão no KEV podem mudar. Confirme nas fontes oficiais.

Este alerta consolida informações públicas e tem caráter informativo. Não substitui os comunicados oficiais dos fornecedores nem a avaliação da equipe responsável por cada ambiente. Teste as ações em ambiente controlado antes de aplicá-las em produção.