RECOMENDAÇÃO 14/2026

[TLP:CLEAR]

1. O CTIR Gov alerta para a existência da vulnerabilidade CVE-2026-50656, denominada "RoguePlanet", que afeta o Microsoft Malware Protection Engine (mpengine.dll), componente utilizado pelo Microsoft Defender.

A falha permite a elevação local de privilégios (Local Privilege Escalation - LPE). Um atacante com capacidade prévia de executar código no sistema afetado pode explorar essa vulnerabilidade para obter privilégios elevados, podendo alcançar o contexto de NT AUTHORITY\SYSTEM.

A Microsoft reportou ter tratado a vulnerabilidade com a disponibilização da versão 1.1.26060.3008 do mecanismo, lançada em 30 de junho de 2026.

2. Posteriormente à correção oficial, foram divulgadas informações e uma prova de conceito (PoC) denominada "ShieldBreak", a qual demonstra ser possível contornar a mitigação aplicada e restabelecer as condições para a obtenção de privilégios elevados em sistemas já atualizados.

Por consistir em uma cadeia de exploração de natureza local, a identificação do ataque depende predominantemente da análise de eventos e comportamentos no próprio endpoint (host), não sendo esperada, necessariamente, a geração de indicadores de comprometimento (IoCs) associados a tráfego de rede.

3. O impacto da exploração bem-sucedida inclui:
- elevação de privilégios locais para contexto de alto privilégio (NT AUTHORITY\SYSTEM);
- desativação ou alteração de mecanismos e controles de segurança presentes no equipamento;
- implantação de mecanismos de persistência no sistema comprometido;
- acesso, modificação ou exfiltração de informações sensíveis;
- execução de ferramentas ou códigos maliciosos com privilégios elevados;
- utilização do equipamento comprometido como ponto de apoio para reconhecimento e movimentação lateral na rede (Táticas, Técnicas e Procedimentos - MITRE ATT&CK: T1548 - Abuse Elevation Control Mechanism).

4. Recomenda-se às instituições e órgãos da Administração Pública a adoção das seguintes medidas de mitigação e monitoramento:
- atualizar o Microsoft Malware Protection Engine para a versão mais recente disponibilizada pela Microsoft (tendo como referência mínima a versão 1.1.26060.3008), garantindo que atualizações de plataforma e inteligência de segurança estejam habilitadas;
- não utilizar a presença da versão mitigada como única evidência de proteção, dada a existência da técnica de contorno "ShieldBreak";
- utilizar soluções de detecção e resposta de endpoint (EDR) para identificar comportamentos anômalos envolvendo processos e componentes do Microsoft Defender;
- implementar políticas de controle de execução de aplicativos (allowlisting), limitando a execução de binários e ferramentas locais não autorizadas;
- restringir privilégios administrativos locais aos usuários e serviços estritamente necessários (Princípio do Menor Privilégio);
- monitorar a criação de processos com privilégios elevados e alterações suspeitas em serviços, tarefas agendadas e mecanismos de persistência;
- revisar configurações de Política de Grupo (GPO) e Registro (Registry) relacionadas ao Microsoft Defender, assegurando que a proteção em tempo real permaneça ativa;
- revisar exclusões configuradas no Microsoft Defender, removendo aquelas que não sejam estritamente essenciais para o ambiente;
- em caso de indício de exploração, isolar imediatamente o equipamento afetado da rede e realizar a análise forense de registros e artefatos antes de seu retorno ao ambiente operacional.

5. Comunicação de incidentes: Caso seja identificada qualquer atividade anômala, tentativa de acesso não autorizado ou suspeita de comprometimento relacionado a esta vulnerabilidade, o órgão deve reportar imediatamente ao CTIR Gov pelo e-mail ctir@ctir.gov.br.

[TLP:CLEAR]