A Microsoft enfrenta uma reação negativa da comunidade de segurança em relação ao Nightmare Eclipse

A ameaça pública da Microsoft de processar criminalmente o pesquisador responsável por seis revelações de dia zero do Windows transformou uma disputa de vulnerabilidade em uma reação em grande escala da comunidade de segurança.

O pesquisador, conhecido como Nightmare Eclipse, publicou um código de prova de conceito armado para seis vulnerabilidades do Windows entre o início de abril e meados de maio de 2026, sem coordenar com a Microsoft. Três falhas, BlueHammer, RedSun e UnDefend, foram exploradas em ataques ao vivo. YellowKey, GreenPlasma e MiniPlasma permanecem sem correção.

A Microsoft responde

A Microsoft publicou uma postagem formal em seu blog em 28 de maio, descrevendo as divulgações como "nunca justificáveis" e alertando que sua Unidade de Crimes Digitais processaria qualquer pessoa que possibilitasse atividades criminosas por meio de códigos de exploração. A empresa acusou o pesquisador de contornar os padrões coordenados de divulgação de vulnerabilidades.

A Nightmare Eclipse contesta isso. O pesquisador alega que a Microsoft excluiu a conta do Security Response Center usada para registrar os relatórios originais de bugs e recusou contato posterior. "O senhor literalmente excluiu a conta da Microsoft com a qual eu costumava relatar bugs para o senhor, e não recebi nenhum centavo por isso", escreveu o pesquisador.

A reação da comunidade

O setor de segurança não está do lado da Microsoft. Katie Moussouris, pioneira em programas de recompensa por bugs na Microsoft e criadora da estrutura de divulgação coordenada que a empresa agora invoca, criticou publicamente a publicação no blog Bluesky. Invocar a "divulgação responsável" foi o primeiro problema, escreveu ela. Acrescentar uma ameaça de acusação da Unidade de Crimes Digitais piorou a situação e faria com que os pesquisadores deixassem de confiar na Microsoft.

Kevin Beaumont, um ex-engenheiro de segurança da Microsoft, chamou a situação de "um incêndio de sua própria criação", observando que a Microsoft contratou anteriormente a SandboxEscaper depois que ela publicou um código de exploração de dia zero sem aviso, comportamento que Redmond agora descreve como criminoso.

O que ainda não foi corrigido e o que vem a seguir

Nightmare Eclipse foi banido do GitHub por volta de 23 de maio e do GitLab em 26 e 27 de maio, e agora publica em um blog pessoal. Um lançamento de exploit em 14 de julho visando a Patch Tuesday de julho continua sendo uma ameaça, com avisos de escalonamento para vulnerabilidades de execução remota de código.

Os administradores devem tratar o YellowKey, GreenPlasma e MiniPlasma como riscos ativos. No caso do YellowKey, a mitigação da Microsoft exige a edição manual da colmeia off-line do registro WinRE e a remoção do autofstx.exe do valor BootExecute.

Uma configuração de pré-inicialização TPM+PIN corta totalmente a rota de extração física. Mecanismo do Defender a versão 1.1.26040.8 ou posterior lida com o RedSun e o UnDefend, e essa atualização não deve esperar por uma janela de manutenção programada.