Uma falha identificada na plataforma Microsoft 365 Copilot pode expor e-mails, arquivos, convites de calend\u00e1rio e at\u00e9 c\u00f3digos de autentica\u00e7\u00e3o com apenas um clique em um link leg\u00edtimo da Microsoft. A vulnerabilidade foi descoberta pelos pesquisadores da Varonis Threat Labs, que a batizaram de SearchLeak. A Microsoft classificou o problema como cr\u00edtico, associado \u00e0 CVE-2026-42824, e informou que j\u00e1 mitigou o problema no backend.<\/p>\n
O ataque n\u00e3o exige que a v\u00edtima digite senha, aprove recursos adicionais ou realize a\u00e7\u00f5es complexas. Ele explora tr\u00eas fraquezas combinadas, transformando uma consulta do Copilot Enterprise Search em uma rota de exfiltra\u00e7\u00e3o de dados. O link utilizado pertence a um dom\u00ednio real da Microsoft, dificultando a detec\u00e7\u00e3o por filtros de phishing tradicionais.<\/p>\n
Ao clicar, a v\u00edtima permanece conectada, e o campo de busca do Copilot pode receber instru\u00e7\u00f5es maliciosas sem que haja interrup\u00e7\u00e3o percept\u00edvel. O problema envolve o par\u00e2metro de busca, que deveria aceitar apenas uma pergunta ou termo, mas passou a aceitar comandos que orientam a IA a buscar informa\u00e7\u00f5es acess\u00edveis ao usu\u00e1rio logado.<\/p>\n
Em seguida, pesquisadores demonstraram que o conte\u00fado gerado pelo Copilot pode acionar requisi\u00e7\u00f5es externas antes que as prote\u00e7\u00f5es da p\u00e1gina neutralizem o c\u00f3digo exibido. Isso permitia o envio de partes dos dados encontrados para fora do ambiente corporativo. A Microsoft orienta clientes do Copilot Enterprise a refor\u00e7ar governan\u00e7a de dados e monitoramento, apesar de o patch ter sido aplicado no backend.<\/p>\n
A falha combina a explora\u00e7\u00e3o do par\u00e2metro de busca, a execu\u00e7\u00e3o de c\u00f3digo gerado pela IA e a exfiltra\u00e7\u00e3o de conte\u00fados sens\u00edveis. A vulnerabilidade foi relacionada ao fluxo de dados entre o Copilot Enterprise Search e servi\u00e7os de armazenamento de conte\u00fado corporativo. A Microsoft informou que n\u00e3o houve explora\u00e7\u00e3o p\u00fablica, mas refor\u00e7ou a necessidade de governan\u00e7a de dados, pol\u00edticas de acesso e monitoramento cont\u00ednuo.<\/p>\n
Segundo a empresa, o Copilot Enterprise \u00e9 um servi\u00e7o gerenciado, o que elimina a necessidade de patches locais por parte dos clientes. Mesmo assim, as organiza\u00e7\u00f5es devem revisar permiss\u00f5es, logs de acesso e alertas de uso an\u00f4malo para reduzir o risco de vazamento. As fontes de seguran\u00e7a ressaltam a import\u00e2ncia de pr\u00e1ticas de least privilege e segmenta\u00e7\u00e3o de dados sens\u00edveis.<\/p>\n","protected":false},"excerpt":{"rendered":"