A Akamai informou que o patch da Microsoft, lan\u00e7ado em fevereiro de 2026 para corrigir a CVE-2026-21510 explorada pelo grupo APT28, n\u00e3o eliminou por completo a vulnerabilidade. A segunda falha, identificada como CVE-2026-32202, permanece ativa e permite roubo de credenciais NTLM sem qualquer intera\u00e7\u00e3o do usu\u00e1rio.<\/p>\n
Investiga\u00e7\u00e3o da Akamai aponta que a CVE-2026-32202 foi corrigida apenas no Patch Tuesday de abril de 2026. A Microsoft reconheceu em nota que a falha j\u00e1 havia sido explorada em ataques reais, sem detalhar incidentes.<\/p>\n
Em dezembro de 2025, o APT28 \u2014 tamb\u00e9m conhecido como Fancy Bear, Forest Blizzard e Sofacy \u2014 realizou uma campanha contra a Ucr\u00e2nia e pa\u00edses da Uni\u00e3o Europeia. O grupo utilizou dois alvos no arquivo LNK para entregar c\u00f3digo malicioso.<\/p>\n
O ataque se valeu de uma dupla vulnerabilidade: CVE-2026-21513 no MSHTML e CVE-2026-21510 no shell do Windows. O arquivo LNK manipulava o Windows Explorer para carregar uma DLL maliciosa a partir de um servidor remoto via UNC, sem verifica\u00e7\u00e3o de seguran\u00e7a.<\/p>\n
O fluxo envolve o envio de um atalho que aciona o Painel de Controle a partir de um servidor controlado pelo invasor, sem que o SmartScreen detecte a amea\u00e7a. A falha permiss\u00e3o a execu\u00e7\u00e3o remota sem valida\u00e7\u00e3o, abrindo caminho para explora\u00e7\u00e3o.<\/p>\n
A corre\u00e7\u00e3o de fevereiro introduziu o objeto COM ControlPanelLinkSite para impedir a execu\u00e7\u00e3o sem confirma\u00e7\u00e3o. Ainda assim, a verifica\u00e7\u00e3o de confian\u00e7a ocorria apenas no final da cadeia, ap\u00f3s o acesso inicial ao servidor remoto.<\/p>\n
A conex\u00e3o SMB \u00e9 estabelecida automaticamente, causando handshake de autentica\u00e7\u00e3o NTLM. Como resultado, o hash Net-NTLMv2 da v\u00edtima \u00e9 enviado ao atacante sem qualquer clique, viabilizando ataques de relay ou quebra de senhas offline.<\/p>\n
A corre\u00e7\u00e3o de abril encerra a chamada final do ShellExecuteExW com verifica\u00e7\u00e3o de assinatura e zona de origem. Mesmo assim, a Akamai aponta que a m\u00e1quina da v\u00edtima j\u00e1 mantinha autentica\u00e7\u00e3o com o servidor atacante antes da valida\u00e7\u00e3o, mantendo risco.<\/p>\n
A Akamai informou o Communication with Microsoft Security Response Center antes da divulga\u00e7\u00e3o p\u00fablica, justificando a omiss\u00e3o anterior da CVE-2026-21510.<\/p>\n","protected":false},"excerpt":{"rendered":"