O investigador anónimo que passou a primeira metade de 2026 a divulgar falhas da Microsoft sem coordenação prévia mudou de alvo. Segundo a SecurityWeek, num intervalo de poucos dias foram publicados três novos exploits de dia zero, batizados PrettyPrague, FalconFlank e GreenSection, que visam respetivamente o antivírus Avast (Gen Digital), o sensor Windows do CrowdStrike Falcon e componentes em modo de utilizador da NVIDIA. Os códigos de prova de conceito conduzem a escalada de privilégios, abrindo uma consola com privilégios de sistema — ou seja, transformam software de defesa em alavanca de ataque. O investigador Kevin Beaumont afirmou que os exploits para Avast, CrowdStrike e Kaspersky funcionam.
Resposta rápida: Foram publicados publicamente três exploits de dia zero contra Avast, CrowdStrike Falcon e NVIDIA, todos exigindo acesso local prévio ao equipamento. A Gen Digital afirma já ter corrigido a falha do Avast e recomenda manter os produtos atualizados; a CrowdStrike diz estar a investigar e aconselha desativar a política Microsoft Office File Suspicious Macro Removal, mantendo o Cloud Anti-malware para ficheiros Office ativo. Não há CVE atribuído nem indicação pública de exploração em ataques reais. Se usa estes produtos, aplique as mitigações do fabricante e reforce a monitorização de escalada de privilégios nos postos de trabalho.
Quem está por trás e porque é que isto não é rotina
O investigador é conhecido como Nightmare Eclipse, e também por Chaotic Eclipse, Infinite Nightmare e MSNightmare, tendo ganhado notoriedade com uma série de exploits de dia zero contra produtos da Microsoft antes de alargar o foco a outros fabricantes. Desde abril divulgou vários exploits contra produtos Microsoft, incluindo Defender e BitLocker, conhecidos por nomes como LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma e UnDefend.
O detalhe que mais deve preocupar as equipas de segurança não é a espetacularidade das divulgações, mas o histórico de operacionalização. A Huntress reportou que ferramentas anteriores deste investigador — BlueHammer, RedSun e UnDefend — foram utilizadas numa cadeia de ataque real, o que significa que estas publicações têm registo de serem aproveitadas por intrusos e não apenas colecionadas por investigadores. Ainda assim, e ao contrário do que sucedeu com esses casos, até ao momento não existe indicação pública de exploração ativa dos três novos exploits.
FalconFlank: a limpeza de macros do Falcon virada do avesso
O exploit permite abrir uma linha de comandos com privilégios SYSTEM ao abusar da funcionalidade de remediação de macros maliciosas de Office do CrowdStrike Falcon Sensor; o próprio investigador nota que, à data da publicação, a empresa provavelmente já teria deteções para o código, pelo que testá-lo exigiria exclusões ou ofuscação do PoC. A falha, que ainda não tem identificador CVE atribuído, afetaria equipamentos com as versões mais recentes do Windows 11 e do Windows Server e a plataforma de segurança de endpoint da CrowdStrike. A técnica reivindicada desvia uma escrita destinada a um documento suspeito para uma localização protegida do sistema, exige execução de código local prévia e não constitui execução remota de código.
A resposta da empresa foi de mitigação, não de correção. Um porta-voz declarou que a CrowdStrike está a investigar ativamente as alegações e aconselha os clientes a desativar a política Microsoft Office File Suspicious Macro Removal, acrescentando que a proteção se mantém através das configurações de Cloud Anti-malware para ficheiros Microsoft Office e remetendo para um Tech Alert no portal de suporte. Esse alerta técnico não é público e só está acessível a quem tenha conta no portal de suporte. Não foram publicadas versões concretas do sensor afetadas em avisos públicos e não existia patch nem CVE à data das análises disponíveis.
Convém sublinhar o custo da mitigação: trata-se de um contorno e não de uma correção, pois remove a funcionalidade abusada pelo PoC mas também retira uma camada de deteção de ameaças baseadas em macros. Quem depender dessa camada como controlo primário deve reforçar restrições de macros por política de grupo e vigilância de documentos recebidos por email.
PrettyPrague: da sandbox do Avast à base SAM
O PoC explora uma falha na sandbox do Avast para extrair a base de dados SAM do Windows e obter uma consola com privilégios SYSTEM, funcionando alegadamente mesmo com o Avast e o Windows 11 25H2 totalmente atualizados, e o investigador suspeita que outros produtos da Gen Digital, como AVG e Norton, possam ser afetados. A empresa confirmou o problema e diz tê-lo resolvido: um porta-voz da Gen afirmou ter tomado conhecimento de uma vulnerabilidade que afeta um subconjunto de produtos, incluindo o Avast Antivirus, com potencial para elevação de privilégios, garantindo que acionou de imediato os procedimentos de resposta de segurança, que corrigiu o problema e que incentiva os utilizadores a manter os produtos atualizados.
Este episódio segue-se a outro, poucos dias antes. No final de agosto, o mesmo investigador divulgou uma falha de escalada de privilégios num produto de segurança de endpoint da Kaspersky, batizada HardBreacher, corrigida pela empresa a 31 de agosto. A Kaspersky declarou ao The Register que resolveu o problema e que a correção é entregue por atualização automática, podendo os utilizadores forçar manualmente uma atualização de bases de dados.
GreenSection: memória partilhada da NVIDIA e silêncio público
O terceiro exploit visa uma escrita fora dos limites de memória numa secção global partilhada usada por vários componentes em modo de utilizador da NVIDIA. Segundo a descrição técnica divulgada, vários componentes partilham uma secção de memória global com acesso total de leitura e escrita para todos os utilizadores e, apesar de existirem validações, os dados dessa memória são reutilizados em tempo de execução, o que pode conduzir à escrita fora dos limites. O autor admite que a falha não dá privilégios SYSTEM de imediato, mas afirma que poderá ser usada para atravessar a fronteira entre utilizadores ou comprometer o processo dwm.exe, dizendo não ter aprofundado a análise.
Na prática, o impacto observado até agora é menos grave: de acordo com Beaumont, este caso limita-se a fazer crashar o sistema e foi descrito como um dia zero de negação de serviço para a NVIDIA. A NVIDIA não respondeu às perguntas do The Register e a SecurityWeek indicou ter contactado a empresa, sem resposta publicada até à publicação do artigo.
Estado de cada divulgação
| Exploit | Produto visado | Impacto reivindicado | Estado |
|---|---|---|---|
PrettyPrague | Avast Antivirus (Gen Digital); possivelmente AVG e Norton | Escalada para SYSTEM via sandbox; extração da base SAM | Corrigido pela Gen Digital, que pede atualização |
FalconFlank | CrowdStrike Falcon Sensor para Windows | Escalada local para SYSTEM via remediação de macros Office | Em investigação; mitigação por política, sem CVE público |
GreenSection | Componentes em modo de utilizador da NVIDIA | Escrita fora dos limites; crash do sistema | Sem resposta pública conhecida do fabricante |
HardBreacher | Produto de segurança de endpoint da Kaspersky | Escalada de privilégios | Corrigido a 31 de agosto, via atualização |
Cronologia resumida
| Data | Acontecimento |
|---|---|
| Final de agosto de 2026 | Divulgação do HardBreacher (Kaspersky) |
| 31 de agosto de 2026 | Kaspersky corrige o problema |
| 3 de setembro de 2026 | Publicação no GitHub do repositório FalconFlank |
| Mesma semana | Divulgação de PrettyPrague (Avast) e GreenSection (NVIDIA) |
| Dias seguintes | Beaumont confirma que os exploits de escalada de privilégios funcionam; Gen Digital anuncia correção; CrowdStrike publica mitigação no portal de suporte |
O que fazer agora
- Atualizar de imediato os produtos Gen Digital (Avast, AVG, Norton) em todos os postos, incluindo portáteis de teletrabalho.
- Nos ambientes CrowdStrike, consultar o Tech Alert no portal de suporte e avaliar a desativação temporária da política
Microsoft Office File Suspicious Macro Removal, confirmando que o Cloud Anti-malware para ficheiros Office se mantém ativo. - Documentar a alteração de política (quem, quando, que grupos de máquinas) para efeitos de gestão de alterações e reverter apenas quando o fabricante confirmar correção.
- Reforçar o bloqueio de macros em documentos com origem na Internet e a formação dos utilizadores, compensando a camada de deteção temporariamente desativada.
- Como não existem CVE nem IOCs oficiais, privilegiar deteção comportamental: consolas com privilégios SYSTEM criadas por processos inesperados, escritas de DLL em diretórios de sistema e eventos anómalos de remediação. Análises públicas do PoC referem ainda a criação de um named pipe contendo a cadeia FALCONFLANK, apontado como indicador comportamental de baixa confiança para caça a ameaças.
- Vigiar os avisos oficiais da NVIDIA e aplicar atualizações de driver quando disponíveis.
Porque é que isto importa em Portugal
Para PME e organizações portuguesas, a lição é desconfortável: o software de proteção corre com privilégios elevados e, por isso, faz parte da superfície de ataque que tem de ser gerida como qualquer outra. Uma escalada local para SYSTEM raramente é o início de um incidente, mas é frequentemente o passo que transforma um acesso banal — uma credencial roubada, um anexo aberto — em domínio do posto de trabalho e, daí, em movimentação lateral e ransomware.
No plano regulatório, o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) exige às entidades abrangidas medidas de gestão de riscos que incluem gestão de vulnerabilidades, tratamento de patches e políticas de segurança de endpoint — e obrigações de notificação de incidentes significativos junto do CNCS. Uma decisão como desativar temporariamente uma funcionalidade de segurança de um EDR deve, nesse contexto, ser registada e justificada, com controlos compensatórios identificados. O CNCS e o CERT.PT são o ponto de contacto natural para apoio e para acompanhar avisos aplicáveis ao ecossistema nacional.
Há também um ângulo de proteção de dados: um exploit que extrai a base SAM local recolhe material de autenticação. Se essa exposição resultar em acesso indevido a dados pessoais, aplicam-se as obrigações do RGPD quanto a segurança do tratamento e a notificação de violações de dados à CNPD, quando o risco o justificar. Por fim, o caso reacende o debate sobre divulgação coordenada: a resposta agressiva da Microsoft a este investigador e a reação subsequente reavivaram um ponto de atrito antigo entre fabricantes e quem encontra e reporta falhas no software que vendem. Enquanto esse debate decorre, quem gere sistemas fica com a parte prática: mitigar depressa, com informação incompleta.
Perguntas frequentes
Estes exploits permitem invadir a minha rede à distância?
Não. Segundo as análises públicas, o caso do CrowdStrike exige execução de código local prévia e não é execução remota de código. São falhas de escalada de privilégios, úteis a quem já tem um pé dentro do equipamento.
Já existe correção disponível?
A Gen Digital afirma ter corrigido a falha que afeta o Avast e pede aos utilizadores que mantenham os produtos atualizados. A Kaspersky corrigiu a falha anterior a 31 de agosto. No caso do CrowdStrike existe mitigação por configuração, sem patch nem CVE públicos conhecidos, e a NVIDIA não tinha resposta pública divulgada.
Devo desligar o meu antivírus ou EDR por precaução?
Não. Desativar a proteção cria um risco muito superior ao da falha. O caminho correto é aplicar as atualizações e mitigações indicadas pelo fabricante e manter as restantes camadas de deteção ativas.
Há sinais de exploração em ataques reais?
Não existe, até agora, indicação pública de exploração ativa destes três casos. No entanto, ferramentas anteriores do mesmo investigador já foram observadas em cadeias de ataque reais, pelo que a janela de risco deve ser tratada com seriedade.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por Gen Digital, CrowdStrike, Kaspersky, pelo próprio investigador e por publicações especializadas de cibersegurança.