CVE-2026-33825 (BlueHammer): Falha Crítica no Microsoft Defender Sofre Exploração Ativa

Um alerta máximo de segurança cibernética foi emitido globalmente após a detecção de campanhas ofensivas ativas explorando o Microsoft Defender em sistemas operacionais Windows. Catalogada como CVE-2026-33825 (e apelidada pelas equipes de Red Team e inteligência contra ameaças como "BlueHammer"), a falha de dia zero permite a escalação local de privilégios (LPE) para o nível mais alto do sistema (SYSTEM), permitindo a execução de códigos não autorizados em nível de kernel e o desligamento do antivírus.

Essa vulnerabilidade é classificada com severidade altíssima por representar um vetor crítico na fase de pós-comprometimento de infraestruturas locais. Hackers e operadores de ransomware utilizam o exploit BlueHammer logo após invadir uma máquina de baixo privilégio para desativar qualquer barreira de defesa local, permitindo a livre movimentação lateral na rede da empresa.

⟩_ Análise Técnica da Vulnerabilidade

A falha reside na forma como o serviço do motor antimalware da Microsoft (MsMpEng.exe) gerencia buffers de entrada e descritores de segurança durante a varredura sob demanda de arquivos no formato PE (Portable Executable) malformados.

Ao forçar o antivírus a inspecionar um executável com cabeçalhos de importação corrompidos deliberadamente, o atacante induz uma falha de estouro de pilha na memória do driver do filtro de arquivo do Defender (WdFilter.sys). Como esse filtro opera diretamente no espaço de endereçamento do kernel do Windows (NT AUTHORITY\SYSTEM), o estouro resulta no sequestro do ponteiro de instruções do processador (EIP/RIP), direcionando o fluxo para um shellcode local que eleva o prompt de comando do atacante a administrador de sistema instantaneamente.

⟩_ Como Identificar a Versão Vulnerável

Administradores de sistemas podem auditar a versão ativa do motor antimalware rodando o seguinte comando no PowerShell administrativo:

# Consultando a versão do motor do Defender
Get-MpComputerStatus | Select-Object EngineVersion, AMServiceVersion

# Versões vulneráveis: inferiores a 1.1.2606.4
# Versão corrigida: 1.1.2606.5 ou superior

⟩_ Plano de Ação e Mitigação em Larga Escala

Geralmente, as atualizações do motor do Defender ocorrem de forma silenciosa via rede. Porém, em servidores desconectados da internet (Air-Gapped) ou que dependem de servidores de WSUS desatualizados, o patch pode não ter sido aplicado.

Para mitigar de forma rápida e preventiva, force a atualização das assinaturas executando o comando Update-MpSignature em todos os endpoints afetados. Além disso, crie regras de Redução de Superfície de Ataque (ASR) no Microsoft Defender for Endpoint para impedir que processos não assinados executem chamadas diretas de kernel API e monitore o log operacional do antivírus por travamentos repetitivos do serviço antimalware (Event ID 1151).