Um grupo de investigadores britânicos demonstrou que é possível anular as camadas de segurança mais avançadas do Windows 11 explorando o pequeno chip de configuração presente em muitos módulos de memória RAM de consumo — e sem qualquer necessidade de abrir a máquina ou de lhe tocar fisicamente. A investigação, apresentada no USENIX Security Symposium de 2026, em Baltimore, por equipas da Universidade de Birmingham e da Universidade de Durham, expõe uma falha nas premissas de confiança em que assenta a segurança moderna do Windows. A Microsoft reconheceu as conclusões, atribuiu o identificador CVE-2026-23670 e distribuiu mitigações nas atualizações de segurança de abril de 2026.
Resposta rápida: O ataque «Download More RAM» altera por software o chip de configuração de certos módulos DDR4 e DDR5, fazendo o sistema acreditar que tem o dobro da memória e criando endereços duplicados que dão acesso a zonas protegidas. Foi usado para contornar o VBS e o HVCI, desativar antivírus e EDR e reativar drivers vulneráveis bloqueados. A Microsoft atribuiu o CVE-2026-23670 e mitigou o problema em abril de 2026: mantenha o Secure Boot ativo, instale as atualizações cumulativas mais recentes e ative a proteção contra escrita da memória, quando disponível.
O que é o ataque «Download More RAM»
Todos os módulos DIMM incluem um pequeno chip de configuração — conhecido como SPD, de Serial Presence Detect — que informa a plataforma sobre capacidade, frequência e parâmetros de funcionamento da memória. O problema identificado pelos investigadores está nesse chip, presente em determinados módulos DDR4 e DDR5: nos modelos afetados não existe proteção contra escrita, o que permite a software alterar os dados que ele contém e fazer o Windows acreditar que o sistema tem o dobro da memória RAM realmente instalada.
Essa manipulação gera «aliases» de memória — endereços aparentemente novos que apontam, na prática, para localizações físicas já existentes — e é através deles que o atacante consegue ler e modificar memória protegida que os mecanismos de segurança do Windows deveriam manter isolada. É importante sublinhar o pré-requisito: a falha permite a um atacante que já disponha de privilégios elevados no computador contornar mecanismos de segurança em que o Windows se apoia. Ou seja, não é um vetor de entrada inicial, mas um poderoso mecanismo de escalada e de persistência depois de um comprometimento.
O trabalho, intitulado «Download More RAM: Dismantling Windows Operating System Defences with Mischievous Memory», é assinado por Sam Collins, Tom Chothia, William Burgess, Marius Muench e David Oswald, e foi apresentado no 35.º USENIX Security Symposium. Segundo o registo público da apresentação, o artigo recebeu um Distinguished Paper Award.
O que a equipa conseguiu desligar
A lista de demonstrações é o que torna este trabalho relevante para quem gere parques informáticos. Os investigadores usaram a técnica para contornar várias medidas de segurança do Windows, incluindo a segurança baseada em virtualização (VBS) e o Hypervisor-Enforced Code Integrity (HVCI), e demonstraram ainda ataques capazes de desativar software antivírus e EDR, reativar drivers vulneráveis previamente bloqueados por serem usados em campanhas de malware, comprometer sistemas corporativos bloqueados e ultrapassar proteções anti-cheat a nível de kernel.
A equipa criou também um script de um clique que encadeia todo o ataque, incluindo a criação dos aliases de memória, o reinício da máquina e a desativação do antivírus, sem exigir nova interação do utilizador. A reativação de drivers vulneráveis é particularmente preocupante, porque abre a porta a técnicas de Bring Your Own Vulnerable Driver frequentemente associadas a operações de ransomware.
Que módulos e fabricantes estão em causa
Os investigadores concluíram que a Corsair, a G.Skill e a ADATA comercializam, cada uma, pelo menos uma linha de memória de consumo com o chip de configuração completamente desprotegido — fabricantes que, em conjunto, representarão cerca de 55% do mercado de memória de alto desempenho para consumidores e cerca de 70% do segmento de memória para jogos. Estas percentagens são estimativas atribuídas aos autores do estudo e devem ser lidas como tal.
Note-se que o problema não é do Windows em si, mas da ausência de proteção de escrita no hardware: módulos DIMM com os blocos de configuração SPD protegidos não são suscetíveis ao método de aliasing exclusivamente por software descrito no artigo.
Cronologia do caso
| Data | Acontecimento |
|---|---|
| Antes da divulgação | Investigadores notificam a Microsoft e os fabricantes; é atribuído o CVE-2026-23670 |
| 14 de abril de 2026 | Mitigação oficial da Microsoft incluída na atualização de segurança de abril |
| Agosto de 2026 | Apresentação pública no 35.º USENIX Security Symposium, em Baltimore |
| Após a divulgação | Corsair adiciona proteção contra escrita no iCUE; HWiNFO acrescenta funcionalidade equivalente |
Os autores avisaram fabricantes e a Microsoft antes de publicarem o trabalho, e a empresa identificou o problema como CVE-2026-23670, tendo distribuído medidas de proteção nas atualizações de segurança de abril de 2026. Nas listagens do ciclo de abril de 2026, a falha aparece classificada na categoria «Windows Virtualization-Based Security (VBS) Enclave». Até ao momento da redação deste artigo não foi possível confirmar em fonte primária uma pontuação CVSS pública para este identificador, pelo que não se indica qualquer valor.
O que mudou com a mitigação da Microsoft
De acordo com as observações dos próprios autores sobre a atualização de abril, o parâmetro de arranque removememory deixou de estar disponível em sistemas com Secure Boot, passando a ser silenciosamente ignorado, e o conjunto de defesas VBS — incluindo HVCI e Credential Guard — passou a poder funcionar em sistemas sem Secure Boot ativo, quando antes o Secure Boot era requisito estrito; ainda assim, os sistemas sem Secure Boot continuam afetados. As máquinas Windows com Secure Boot ativado estão protegidas contra o ataque na sua forma atual, enquanto as que não o têm permanecem vulneráveis, razão pela qual a equipa aconselha a garantir que o Secure Boot está ativo.
A leitura prudente é a que os próprios investigadores fazem: a mitigação bloqueia a cadeia de ataque demonstrada, mas não elimina o risco mais amplo associado a técnicas alternativas de estabilização que possam surgir. Trata-se, no fundo, de um problema de desenho de hardware que só desaparece quando os fabricantes de memória impuserem proteção de escrita por defeito.
Passos concretos de mitigação
- Confirmar o Secure Boot na UEFI/BIOS em todos os postos de trabalho e portáteis geridos.
- Instalar as atualizações cumulativas mais recentes: os utilizadores devem assegurar que o Secure Boot está ativo e atualizar para as atualizações de Patch Tuesday de agosto de 2026 do Windows 10 e Windows 11, dado o seu caráter cumulativo.
- Ativar a proteção contra escrita da memória: a Corsair acrescentou ao iCUE uma funcionalidade que permite ativar retroativamente a proteção de escrita nos módulos, fechando a falha ao nível do hardware, e a ferramenta gratuita HWiNFO adotou funcionalidade equivalente para modelos de outros fabricantes.
- Rever as opções da motherboard: algumas placas oferecem uma definição na BIOS que bloqueia escritas nos chips de configuração da memória, utilizável como medida interina.
- Reduzir contas com privilégios locais de administrador e reforçar o controlo de aplicações, já que o ataque parte de privilégios elevados.
Do lado da indústria, os fabricantes de memória podem reduzir a exposição impondo proteção de escrita ao SPD, sobretudo nos blocos de configuração que definem a capacidade e o endereçamento do módulo.
Indicadores e deteção
Não foram divulgados publicamente indicadores de comprometimento (IOCs) do tipo hashes, domínios ou endereços IP, porque não se trata de uma campanha de malware atribuída, mas de investigação académica. Ainda assim, as equipas de segurança podem procurar sinais coerentes com a técnica descrita:
| Sinal a monitorizar | Porque importa |
|---|---|
Capacidade de RAM reportada superior à instalada (msinfo32, inventário do MDM) | Efeito direto da alteração do chip de configuração |
Uso do parâmetro de arranque removememory ou alterações via bcdedit | Foi usado pelos autores para estabilizar o sistema com memória duplicada |
| Reinícios inesperados seguidos de alterações de estado do VBS/HVCI | O script de um clique encadeia aliasing, reinício e desativação de proteções |
| Antivírus/EDR desativado ou drivers previamente bloqueados a carregar | Objetivos demonstrados pela investigação |
Software de terceiros a acessar o barramento SMBus/SPD sem justificação | Via típica de escrita no chip de configuração |
Porque é que isto importa em Portugal
Muitas PME portuguesas assumem que ativar o Windows 11 com TPM, Secure Boot e VBS resolve o essencial da segurança do posto de trabalho. Este estudo mostra que essas garantias dependem também da qualidade e da configuração do hardware — algo que raramente entra nos inventários de risco. Em ambientes com máquinas montadas à medida, memórias «gaming» e postos de trabalho de engenharia ou design, a probabilidade de existirem módulos sem proteção de escrita é real.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a mensagem é operacional: a gestão de vulnerabilidades e a gestão de ativos têm de incluir firmware e componentes de hardware, e as medidas de higiene básica exigidas — atualizações, controlo de acessos privilegiados, configuração segura — são exatamente as que travam este tipo de cadeia. O CNCS e o CERT.PT são o ponto de contacto para notificação de incidentes significativos e para acompanhar alertas técnicos aplicáveis ao contexto nacional.
Há ainda um ângulo de proteção de dados. Se um atacante consegue neutralizar o Credential Guard e o EDR num posto de trabalho, o passo seguinte é normalmente o roubo de credenciais e o acesso a dados pessoais — com as consequentes obrigações de notificação à CNPD e aos titulares previstas no RGPD. Documentar que o Secure Boot está ativo e que as atualizações foram aplicadas é, também por isso, parte da demonstração de medidas técnicas adequadas.
Perguntas frequentes
O meu computador está vulnerável ao «Download More RAM»?
Depende do módulo de memória e da configuração do sistema. Máquinas Windows com Secure Boot ativado estão protegidas contra o ataque na forma atual; as que não têm Secure Boot continuam vulneráveis. Módulos cujo bloco de configuração está protegido contra escrita também não são suscetíveis ao método por software.
O atacante precisa de acesso físico ao computador?
Não. O ataque permite contornar proteções importantes do Windows apenas com software, sem necessidade de acesso físico ao PC. Em contrapartida, exige que o atacante já disponha de privilégios elevados na máquina.
Que atualização devo instalar?
A Microsoft publicou mitigações nas atualizações de segurança de abril de 2026 e recomenda-se instalar as atualizações de Patch Tuesday de agosto de 2026 para Windows 10 e Windows 11, por serem cumulativas.
Posso proteger a memória sem trocar de módulos?
Sim, em muitos casos. A Corsair acrescentou ao iCUE uma opção para ativar a proteção contra escrita nos módulos afetados, o HWiNFO oferece funcionalidade semelhante para memórias de outras marcas e algumas motherboards disponibilizam definições na BIOS que impedem escritas nesses chips de configuração.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Universidade de Birmingham, pela Universidade de Durham, pelo USENIX Security Symposium e pela Microsoft.