ALERTA 09/2026

1. Foi publicada uma atualização de segurança para resolver uma falha crítica que afeta o Windows. Observou-se que o Microsoft Windows Video ActiveX Control contém uma vulnerabilidade de execução remota de código. Um atacante poderia explorar essa vulnerabilidade por meio da criação de uma página web especialmente construída. Quando um usuário visualiza essa página, a falha pode permitir a execução remota de código. Um atacante que explore com sucesso essa vulnerabilidade poderá obter os mesmos privilégios do usuário atualmente autenticado no sistema.

Apesar da vulnerabilidade ser de 2008, novas atualizações elevaram o seu risco e demandam uma ação imediata. A falha é descrita na Common Vulnerabilities and Exposures (CVE):

https://nvd.nist.gov/vuln/detail/CVE-2008-0015
https://www.cve.org/CVERecord?id=CVE-2008-0015

2. Conforme informações do fornecedor, as versões vulneráveis do produto incluem:

- Produto: n/a. Versões afetadas: Microsoft Windows 2000 SP4, XP SP2 and SP3, Server 2003 SP2, Vista Gold, SP1, and SP2, and Server 2008 Gold and SP2.

3. O CTIR Gov recomenda que as instituições identifiquem se utilizam versões vulneráveis e apliquem imediatamente as correções fornecidas pelo desenvolvedor. Links adicionais:

https://web.archive.org/web/20110305211119/https://www.microsoft.com/technet/security/bulletin/ms09-032.mspx ;

https://nvd.nist.gov/vuln/detail/CVE-2008-0015

4. Resumo sobre criticidade:

- Listada no catálogo CISA KEV: SIM
- CVSS Base Score: 8.8
- EPSS: 87,52%
- Percentile EPSS: 99,44%

 a)    O que é o Cybersecurity and Infrastructure Security Agency Know Exploited Vulnerabilities Catalog (CISA KEV)?

• Catálogo de vulnerabilidade mantida pela agência CISA. Os requisitos para uma vulnerabilidade ser listada no catálogo são: (1) A vulnerabilidade possui um ID CVE (Common Vulnerabilities and Exposures) atribuído; (2) Há evidências confiáveis de que a vulnerabilidade foi ativamente explorada em ambientes reais; (3) Existe uma ação de correção clara para a vulnerabilidade, como uma atualização fornecida pelo fabricante. Fonte: https://www.cisa.gov/known-exploited-vulnerabilities

 b)    O que é Common Vulnerability Scoring System (CVSS)?

• Metodologia aberta para comunicar as características e a gravidade de vulnerabilidades em softwares. É composto por três grupos de métricas: Base, Temporal e Ambiental. Quanto mais próximo do 10 maior a criticidade da vulnerabilidade. Fonte: https://www.first.org/cvss/v3-1/specification-document

 c)   O que é o Exploit Prediction Scoring System (EPSS)?

•  Estimativa diária global da probabilidade de que uma atividade de exploração seja observada nos próximos 30 dias. Fonte: https://www.first.org/epss/model

6. O CTIR Gov ressalta que, de acordo com o artigo 12, inciso IX, do Decreto Nº 10.748, de 16 de julho de 2021, os órgãos pertencentes à ReGIC devem "sanar, com urgência, as vulnerabilidades cibernéticas, em especial aquelas identificadas nos alertas e nas recomendações", conforme publicado em: https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2021/decreto/d10748.htm

7. Informações sobre a Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC): https://www.gov.br/ctir/regic

8. Informações sobre o Traffic Light Protocol (TLP), conforme definido pelo Forum of Incident Response and Security Teams (FIRST): https://www.gov.br/ctir/tlp

Equipe CTIR Gov.

[TLP:CLEAR]