A Microsoft lançou atualizações emergenciais fora do ciclo regular para corrigir uma vulnerabilidade crítica zero-day no Microsoft Office, que já está sendo explorada por atacantes.
A falha, identificada como
CVE-2026-21509
, permite o bypass de mecanismos de segurança e afeta várias versões do Office, incluindo Microsoft Office 2016, 2019, LTSC 2021, LTSC 2024 e o serviço de assinatura Microsoft 365 Apps for Enterprise.
No entanto, os patches para as versões 2016 e 2019 ainda não foram disponibilizados, embora a empresa tenha prometido liberá-los o quanto antes.
Embora o painel de visualização (preview pane) não seja vetor direto de ataque, invasores locais, sem autenticação, podem explorar a vulnerabilidade por meio de ataques de baixa complexidade que dependem da interação do usuário.
De acordo com a Microsoft, “a dependência de entradas não confiáveis no Office permite que um atacante não autorizado contorne uma proteção local.
Para isso, o invasor deve enviar um arquivo malicioso e convencer o usuário a abri-lo.”
O patch divulgado corrige a falha que permitia contornar as mitigações baseadas em OLE (Object Linking and Embedding) presentes no Microsoft 365 e no Office, responsáveis por proteger contra controles COM/OLE vulneráveis.
Enquanto os usuários do Office 2016 e 2019 esperam pela atualização oficial, a Microsoft recomendou procedimentos de mitigação para reduzir o risco de exploração, que envolvem alterações no Registro do Windows.
Confira o passo a passo simplificado:
1. Feche todos os aplicativos do Microsoft Office.
2. Faça um backup do Registro do Windows para evitar problemas em caso de edição incorreta.
3. Abra o Editor do Registro (regedit.exe) pelo menu Iniciar.
4. Navegue até o caminho correspondente à sua versão e arquitetura do Office, por exemplo:
- Para Office 64 bits (ou 32 bits no Windows 32 bits):
`HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\`
- Para Office 32 bits no Windows 64 bits:
`HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Office\16.0\Common\COM Compatibility\`
5. Se a chave “COM Compatibility” não existir, crie-a dentro da pasta “Common”.
6. Dentro de “COM Compatibility”, crie uma nova chave chamada `{EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}`.
7. Nessa chave, crie um valor DWORD (32 bits) chamado `Compatibility Flags`.
8. Defina o valor de `Compatibility Flags` para `400`.
Após aplicar essas configurações, a vulnerabilidade estará mitigada ao reiniciar qualquer aplicativo do Office.
Até o momento, a Microsoft não divulgou informações sobre o descobridor da falha nem detalhou os métodos utilizados para exploração.
Este anúncio ocorre logo após o Patch Tuesday de janeiro de 2026, quando a Microsoft lançou correções para 114 vulnerabilidades, incluindo uma zero-day explorada ativamente e outras duas divulgadas publicamente.
Outra zero-day corrigida neste mês é uma falha de divulgação de informações no Desktop Window Manager, classificada como “importante”.
Ela permite que invasores acessem endereços de memória vinculados à porta ALPC remota.
Na semana passada, a Microsoft também liberou atualizações emergenciais para o Windows, corrigindo problemas no desligamento do sistema e falhas em PCs na nuvem provocadas pelos patches de janeiro, além de um update para resolver travamentos no cliente clássico do Outlook.
Essa série de atualizações reforça a importância de manter sistemas e aplicativos sempre atualizados para proteger os ambientes contra ameaças em constante evolução.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...