Em 12 de novembro, a Microsoft afirmou ter corrigido a vulnerabilidade CVE-2025-60718, uma falha de segurança no Windows 11 relatada pela divisão de segurança Projeto Zero do Google.
No entanto, o Projeto Zero alega que a Microsoft não conseguiu solucionar completamente a vulnerabilidade. De fato, os especialistas do projeto publicaram uma resposta detalhada explicando por que a “correção” era problemática e os diversos fatores envolvidos com mais profundidade.
Resumidamente, a vulnerabilidade de segurança em questão é uma falha no recurso de Proteção do Administrador. E ela permite que um hacker execute código malicioso se conseguir acesso físico ao computador.
Notícias Relacionadas:
- Google domina mercado ASIC e dobra encomenda de TPUs na MediaTek [RUMOR]
- Kick chega ao catálogo do Xbox, que nega qualquer parceria
- Microsoft comemora 10 anos do DirectX 12
Até uma solução aparecer
A vulnerabilidade está no recurso de Proteção de Administrador do Windows e ela permite que um processo com privilégios baixos obtenha acesso total a um processo de Acesso à Interface do Usuário. Hackers podem explorar essa vulnerabilidade para acessar um processo de administrador oculto, levando à elevação de privilégios.
Como medida de mitigação, pode-se fazer uma escalada de privilégios local, o que requer a execução de código arbitrário na máquina.
A Proteção de Administrador é um recurso opcional disponível apenas no Windows 11 25H2, e a correção não funciona sem que ela esteja habilitada. Isso significa que, mesmo sem essa correção incompleta, o problema ainda permitia burlar o UAC, mas o UAC não é uma barreira de segurança.
A correção deveria resolver o nome final do arquivo, usar esse nome para todas as verificações de segurança subsequentes e também passar esse valor ao criar o processo. Isso evitaria a vulnerabilidade atual em que, uma vez criado o processo, o ponto de montagem pode ser alterado para outro diretório.
Outro problema é que parece que a Proteção de Administrador está desabilitada como recurso por meio de um sinalizador de recurso em todas as máquinas com Windows 11 que foram testadas. Ou seja, não é possível habilitar o recurso mesmo que se deseje.
Microsoft?
A Microsoft alegou ter corrigido o problema em 12 de novembro, e o Google publicou um relatório detalhado uma semana depois, em 19 de novembro, seguido de outro no dia seguinte, 20 de novembro. Mesmo assim, a Microsoft ignorou completamente o relatório, sem qualquer resposta própria, e sequer reconheceu a correção incompleta.
Embora o risco de danos seja considerado pequeno, espera-se que a Microsoft analise com atenção o relatório detalhado do Projeto Zero e implemente as correções necessárias para solucionar adequadamente o problema que alegou ter resolvido.
Zero Risco
Para os que desconhecem, o Projeto Zero do Google é uma equipe de elite de pesquisadores de segurança, criada em 2014, com a missão de encontrar e relatar vulnerabilidades de dia zero, ou seja, falhas de segurança desconhecidas, em softwares populares.
Entre os softwares populares que eles avaliam estão aqueles do próprio do Google, mas os pesquisadores também buscam vulnerabilidades de outras empresas. O objetivo é tornar a internet mais segura, forçando correções e melhorando a segurança a longo prazo.
Caso os bugs não sejam resolvidos, eles fazem uma divulgação publica em um prazo de 90 dias ou 7 dias em casos críticos.
Fonte: Projeto Zero.
- Categorias
Participe do grupo de ofertas do Adrenaline
Confira as principais ofertas de hardware, componentes e outros eletrônicos que encontramos pela internet. Placa de vídeo, placa-mãe, memória RAM e tudo que você precisa para montar o seu PC. Ao participar do nosso grupo, você recebe promoções diariamente e tem acesso antecipado a cupons de desconto.
Entre no grupo e aproveite as promoções
