Após desentendimento com a Microsoft, pesquisador expõe vulnerabilidade séria no Windows

Um pesquisador de segurança cibernética, conhecido pelos pseudônimos Nightmare Eclipse e Chaotic Eclipse, divulgou um novo bug no Windows. A vulnerabilidade é considerada séria e teve sua existência confirmada por ao menos dois especialistas.

Trata-se de uma vulnerabilidade zero-day — isto é, ainda sem correção da Microsoft e desconhecida pela empresa até sua divulgação. Ela foi batizada de ShieldBreak e explora uma falha na plataforma de proteção Microsoft Defender.

O problema se baseia em uma vulnerabilidade previamente divulgada, a RoguePlanet (CVE-2026-50656), que aparentemente recebeu apenas correções parciais. Na prática, um atacante com algum nível de acesso restrito à máquina da vítima poderia escalar privilégios até o nível de sistema, aumentando o potencial de um ataque.

Em comunicado ao The Hacker News, a Microsoft afirmou estar “ciente da vulnerabilidade relatada” e investiga a denúncia. Porém, há um aspecto que torna o caso mais incomum: a própria Microsoft não foi avisada previamente sobre o bug devido a um desentendimento com o próprio Nightmare Eclipse.

Controvérsias entre caçadores de bugs

A divulgação do ShieldBreak e de outras falhas pelo indivíduo que assina como Nightmare Eclipse é mais um capítulo do conflito em andamento com a Microsoft.

• Caçadores de bugs geralmente recebem remuneração por suas descobertas, especialmente quando se trata de falhas críticas e exploráveis por agentes mal-intencionados.
• O ponto central é que o pesquisador publicou esta e outras vulnerabilidades por conta própria, sem notificar previamente a Microsoft nem utilizar os canais oficiais de reporte, e a divulgação ocorreu logo após um pacote de atualizações de segurança do Windows;
• Nightmare Eclipse alega ter enfrentado problemas com o processo de divulgação da Microsoft, incluindo relatos de bugs antigos que teriam sido encerrados, desconsiderados ou tratados de maneira inadequada;
• Nos últimos meses, em reação ao que considerou um tratamento injusto, a pessoa passou a publicar vulnerabilidades em sites pessoais — o que aumenta o risco de que cibercriminosos explorem essas falhas antes que a Microsoft libere correções;
• A Microsoft acusou o pesquisador de divulgação irresponsável e chegou a cogitar ações legais contra Nightmare Eclipse, mas recuou da ameaça após críticas da comunidade.

No comunicado, a empresa reforça seu apoio à “divulgação coordenada de vulnerabilidades” para garantir que as descobertas “sejam devidamente investigadas e tratadas antes de serem tornadas públicas”. Entretanto, ainda não houve manifestação oficial sobre os protestos nem sobre a situação da conta de Nightmare Eclipse.

Quais mudanças a Microsoft já implementou para tentar melhorar o desempenho do Windows 11? Saiba nesta matéria!