Uma falha em uma atualização de segurança da Microsoft abriu um novo caminho de ataque. Especialistas da Akamai descobriram que, após a correção da vulnerabilidade CVE-2026-21510 no sistema Windows, permaneceu um mecanismo oculto que força o computador da vítima a se conectar ao servidor do atacante. O novo defeito recebeu o número CVE-2026-32202 (CVSS não informado).
A campanha do Fancy Bear
A campanha é conduzida pelo grupo Fancy Bear, que no final de 2025 atacou vários países da Europa usando atalhos do Windows especialmente preparados. Tais arquivos com extensão LNK desencadearam uma cadeia de vulnerabilidades, incluindo CVE-2026-21513 e CVE-2026-21510. Por meio delas, os atacantes contornavam a proteção do sistema e baixavam código malicioso de um servidor remoto. O arquivo parecia inofensivo, mas continha internamente uma estrutura especial que fazia o Windows Explorer acessar o recurso remoto como um item do Painel de Controle, baixando a biblioteca do servidor do atacante sem verificar a origem ou avisar o usuário.
O problema na correção
Em fevereiro de 2026, a Microsoft publicou uma correção. Segundo os pesquisadores da Akamai, a atualização adicionou verificação por meio de um mecanismo de proteção integrado que agora analisa a origem de um arquivo antes de executá-lo. À primeira vista, o problema parece resolvido, pois componentes não assinados ou suspeitos não serão mais executados. No entanto, a verificação é acionada tarde demais. No momento em que o sistema chega à etapa de verificação, ele já conseguiu contatar o servidor do atacante.
Apenas abrir uma pasta com um atalho malicioso é suficiente para que o Explorer tente carregar seu ícone. Nesse momento, o Windows se conecta automaticamente ao recurso remoto por meio de um protocolo de rede e envia dados de autenticação. O usuário não clica em nada e nem percebe o que está acontecendo, conforme explicaram os especialistas da Akamai.
Impacto e status
Como resultado, o atacante recebe um hash de credenciais no formato Net-NTLMv2. Segundo os pesquisadores, esses dados podem ser usados para ataques subsequentes – por exemplo, para interceptar sessões ou adivinhar senhas. O problema foi reportado à desenvolvedora (Microsoft) e a vulnerabilidade agora foi oficialmente reconhecida. O ataque não requer nenhuma ação do usuário; tudo o que é necessário é abrir a pasta com o arquivo malicioso.
