Microsoft emite patch fora de banda para vulnerabilidade de dia zero do Microsoft Office ativamente explorada

A Microsoft lançou uma atualização de segurança fora de banda para tratar de uma vulnerabilidade de dia zero ativamente explorada que afeta o Microsoft Office, aumentando ainda mais a pressão sobre um ciclo de atualização de janeiro de 2026 já turbulento, que também registrou sérios problemas de estabilidade nos sistemas Windows 11.

Rastreada como CVE-2026-21509, a vulnerabilidade é classificada como um desvio de recurso de segurança causado pela "dependência de entradas não confiáveis em uma decisão de segurança no Microsoft Office", de acordo com o Microsoft Security Response Center. Uma exploração bem-sucedida permite que um invasor contorne localmente as proteções de segurança do Office, especificamente as mitigações OLE projetadas para bloquear controles COM e OLE vulneráveis.

A Microsoft atribuiu à falha uma pontuação CVSS v3.1 de 7,8 e confirmou que ela está sendo explorada na natureza. Embora a empresa não tenha revelado detalhes técnicos sobre os ataques, ela observou que a exploração requer interação com o usuário, com os invasores precisando convencer as vítimas a abrir um arquivo do Office especialmente criado. O painel de visualização não é um vetor de ataque.

Os sistemas que executam o Office 2021 e mais recentes são automaticamente protegidos por meio de uma alteração no lado do serviço, embora os usuários devam reiniciar seus aplicativos do Office para que a atenuação tenha efeito. Os clientes do Office 2016 e do Office 2019, no entanto, não estão protegidos até que instalem as atualizações de segurança mais recentes. A Microsoft também forneceu uma solução alternativa baseada em registro que pode ser aplicada imediatamente nos sistemas afetados para bloquear a exploração antes da aplicação de patches.

A vulnerabilidade foi adicionada ao catálogo de Vulnerabilidades Exploradas Conhecidas mantido pela Cybersecurity and Infrastructure Security Agency, que exige que as agências federais dos EUA apliquem as atualizações até 16 de fevereiro de 2026.

No início deste mês, Atualização de segurança do Windows 11 KB5074109 foi vinculada a problemas de estabilidade generalizados e relatos de falhas de inicialização UNMOUNTABLE_BOOT_VOLUME em alguns sistemas, ressaltando o estado cada vez mais frágil das atualizações recentes do Windows e do Office.