Após ‘briga’ com a Microsoft, pesquisador revela falha grave no Windows

O pesquisador de cibersegurança conhecido por nomes como Nightmare Eclipse e Chaotic Eclipse revelou um novo bug no Windows. A falha é considerada grave e foi confirmada por ao menos dois especialistas na área.

O caso é uma vulnerabilidade de dia zero, ou seja, que ainda não foi consertada pela Microsoft e não era de conhecimento da empresa até a sua revelação. Ela se chama ShieldBreak e envolve uma brecha na plataforma de proteção digital Microsoft Defender.

A falha é baseada em uma vulnerabilidade anteriormente revelada, a RoguePlanet (CVE-2026-50656), que só teria sido parcialmente corrigida pela empresa. Na prática, ela permite a um invasor já com algum tipo de acesso limitado à máquina da vítima elevar os próprios privilégios a nível de sistema, elevando a gravidade de um ataque.

Em nota enviada ao The Hacker News, a empresa disse estar “ciente da vulnerabilidade relatada” e investiga a denúncia. Porém, essa notícia tem um desdobramento que torna o caso mais especial: a própria Microsoft não foi avisada com antecedência sobre o bug por uma briga com o próprio Nightmare Eclipse.

Polêmicas na comunidade de caçadores de bugs

A revelação do ShieldBreak e de outras vulnerabilidades feitas pela pessoa anônima que assina como Nightmare Eclipse é mais um capítulo de uma briga em andamento com a Microsoft.

• Caçadores de bugs normalmente são remunerados pelas descobertas, em especial aquelas consideradas críticas e potencialmente exploráveis por agentes mal intencionados.
• O principal fator em jogo é que o caçador de bugs fez a publicação dessa e de outras vulnerabilidades por conta própria, sem um aviso antecipado à Microsoft e nem usar os canais oficiais de denúncia, além de ser logo depois de um pacote de atualizações de segurança do Windows;
• Nightmare Eclipse diz que teve problemas com o processo de divulgação da Microsoft, com bugs antigos reportados que tiveram o processo encerrado, desconsiderado ou tratados de maneira inadequada;
• Nos últimos meses, em resposta ao que considerou um tratamento injusto, a pessoa passou a publicar as vulnerabilidades em endereços pessoais — o que aumenta as chances de essas falhas serem exploradas por cibercriminosos antes que a Microsoft lance uma correção para os casos;
• A Microsoft acusou o pesquisador de divulgação irresponsável e chegou até a indicar que tomaria alguma ação legal contra Nightmare Eclipse, mas recuou da ameaça após críticas da comunidade.

Na nota, a companhia reforça que apoia “a divulgação coordenada de vulnerabilidades” para garantir que descobertas “sejam minuciosamente investigadas e tratadas antes de serem tornadas públicas”. Porém, ela ainda não se manifestou oficialmente sobre os protestos e a situação da conta de Nightmare Eclipse.

Que mudanças a Microsoft já implementou para tentar melhorar o desempenho do Windows 11? Saiba nesta matéria!