CVE-2026-96951: zero-day no Windows Shell já é explorado
A Microsoft confirmou que a CVE-2026-96951, falha de bypass no Windows Shell que desliga as proteções do Mark of the Web (MOTW), já está sendo explorada ativamente. É a única vulnerabilidade do Patch Tuesday de outubro de 2026 que a empresa classifica como explorada “in the wild” — as outras duas falhas zero-day do mês, no .NET Framework e na biblioteca MessagePack-CSharp, foram apenas divulgadas publicamente, sem exploração confirmada. A correção saiu em 13 de outubro, dentro de um lote que soma 1.411 falhas, 70 delas críticas.
O que é e quem está exposto
A CVE-2026-96951 (CVSS 8,8) é uma injeção de comando no Windows Shell que permite remover a marcação do Mark of the Web de arquivos baixados da internet ou recebidos por e-mail. Sem essa marcação, o Windows deixa de acionar defesas como SmartScreen, Office Protected View e Application Guard para aquele arquivo — o sistema passa a tratar um anexo malicioso como se fosse local e confiável.
O vetor é engenharia social: o ataque chega por e-mail, mensagem instantânea ou link, e exige que alguém abra o arquivo ou clique. Não há execução automática via painel de visualização, mas o Shell está presente em toda instalação do Windows — estações e servidores, em todas as versões com suporte.
O que fazer agora
- Aplicar a atualização cumulativa de outubro de 2026 (Patch Tuesday, 13/10) via Windows Update, WSUS ou Windows Autopatch em todas as máquinas Windows — não só nas estações de trabalho, também em servidores que expõem o Explorer/Shell a usuários, como RDS, Terminal Server e file servers com acesso interativo.
- No Windows 11, as builds afetadas recebem KB5127648 (24H2, 25H2 e 26H2) ou KB5127646 (26H1); confirme o KB equivalente para a sua versão de Windows Server e para builds LTSC no catálogo do Windows Update antes de fechar o rollout.
- Enquanto o patch não cobrir 100% da base, reforce o filtro de anexos e links no e-mail corporativo — é o canal de entrega da exploração já confirmada.
O resto do pacote que pede atenção
O lote de outubro não se resume ao zero-day. Entre as 70 falhas críticas, pelo menos seis permitem execução remota de código sem autenticação, bastando o serviço estar exposto na rede:
- CVE-2026-96934 — Windows DHCP Server, RCE, CVSS 9,8.
- CVE-2026-100219 e CVE-2026-105016 — Microsoft QUIC, RCE, CVSS 9,8 cada, via qualquer serviço que use o protocolo.
- CVE-2026-70147 e CVE-2026-70153 — driver de impressora PostScript, RCE, CVSS 9,8, acionável por job de impressão ou pacote de rede.
- CVE-2026-100202 — MSMQ Queue Manager, RCE, CVSS 9,8, via TCP/1801.
Em infraestrutura de identidade, a CVE-2026-70229 (Active Directory Domain Services, CVSS 8,1) permite RCE não autenticado contra controladores de domínio, embora a Microsoft classifique a complexidade de exploração como alta. No Exchange Server (2016 CU23, 2019 CU14/CU15 e Subscription Edition), saíram ainda a CVE-2026-70571 (RCE, CVSS 8,1) e a CVE-2026-70279 (XSS com spoofing, CVSS 9,3). Nenhuma das quatro tem exploração confirmada — a Microsoft as classifica como “Exploitation More Likely”, ou seja, candidatas a próximo alvo.
Qual o prazo
Não há data de corte formal, mas o padrão do setor trata uma falha com exploração confirmada como prioridade de patch em 24 a 72 horas — e quanto mais serviços de rede sem autenticação aparecem no mesmo lote (DHCP, QUIC, impressão, MSMQ), menor a margem para adiar o rollout completo.
Perguntas frequentes
A exploração da CVE-2026-96951 exige abrir o arquivo?
Sim. Diferente de falhas de painel de visualização, é preciso clicar ou abrir o conteúdo malicioso — o risco está em phishing bem construído, não em execução automática.
Servidores Windows também recebem o patch?
Sim, o Shell está presente em todas as versões com suporte, cliente e servidor. Confirme o KB específico da sua versão no catálogo do Windows Update.
As outras falhas críticas do mês já têm exploração confirmada?
Não, segundo a Microsoft. DHCP Server, QUIC, driver PostScript e MSMQ estão classificadas como risco elevado, sem evidência de ataque até a publicação deste texto.
Conclusão
Trate a CVE-2026-96951 como prioridade imediata — é a única exploração confirmada do mês — e não deixe o restante do lote para depois: os RCEs sem autenticação em DHCP, QUIC, impressão e MSMQ dão a um atacante caminhos de rede direta para qualquer servidor Windows exposto. Se a aplicação de patch for faseada, comece pelos hosts que recebem e-mail e pelos servidores DHCP e de impressão compartilhada.
