Microsoft corrige CVE-2026-96951 no Windows Shell

Microsoft corrigiu a CVE-2026-96951 na atualização de segurança de outubro de 2026. A falha afeta o Windows Shell, permite contornar as proteções Mark of the Web (MOTW) e entrou na lista de vulnerabilidades exploradas ativamente como zero-day. A Tenable a classificou como um bypass de função de segurança, com pontuação CVSS de 8.8.

O que faz a CVE-2026-96951?

A CVE-2026-96951 permite burlar as defesas Mark of the Web no Windows Shell, afetando o comportamento de controles posteriores que dependem dessa marcação de zona. A CrowdStrike afirmou que esse bypass pode neutralizar proteções como SmartScreen, Protected View do Office e Application Guard, embora essa parte da análise seja atribuída à empresa e não a uma confirmação oficial separada.

A vulnerabilidade foi tratada pela Microsoft como uma zero-day explorada na prática. O BleepingComputer a incluiu entre as falhas corrigidas no Patch Tuesday de outubro de 2026 e informou que ela estava sendo explorada ativamente. A Tenable, por sua vez, disse que a empresa a corrigiu como parte de uma leva de 1.407 CVEs.

Como ela é explorada segundo as análises publicadas?

Segundo o ITBrief Asia, a exploração bem-sucedida pode exigir que a vítima abra um arquivo malicioso criado especificamente para isso ou acesse um site controlado pelo invasor. A CrowdStrike acrescentou que o ataque depende de uma ação explícita do usuário e não ocorre pelo painel de visualização.

O CybersecurityNews afirmou que a Microsoft classificou a CVE-2026-96951 como uma vulnerabilidade importante com avaliação de exploração detectada, o que indicaria ataques confirmados e não apenas uma possibilidade teórica. Essa atribuição aparece em cobertura secundária e não em um aviso oficial citado diretamente no material disponível.

Que outros dados a cobertura técnica trouxe?

O WindowsForum.com publicou uma cobertura secundária que atribui à CISA a inclusão da CVE-2026-96951 no catálogo KEV e a publicação de compilações corrigidas para várias versões do Windows. No entanto, o material disponível não aponta diretamente para o registro oficial da CISA nem para o aviso da Microsoft, então esse ponto fica como referência não verificada de forma primária.

O CyberDaily acrescentou que o Windows Server 2012 não recebeu patch para essa vulnerabilidade, enquanto o Windows Server 2012 R2 aparece contemplado. A mesma cobertura sustentou que o Outlook.com já havia sido corrigido em uma compilação anterior.

A atualização de outubro de 2026 colocou a CVE-2026-96951 entre as falhas mais acompanhadas do mês, pelo status de zero-day e pelo alcance do bypass sobre o MOTW. A combinação de exploração ativa, impacto no Windows Shell e pontuação CVSS de 8.8 concentrou a atenção de várias empresas de análise.