# CTI Weekly - 2026-W07 > Período: 2026-02-09 a 2026-02-15 · Edição retroativa · Gerado em 2026-03-23 > Fontes primárias: Microsoft MSRC, CISA, The Hacker News, BleepingComputer, Mandiant, NVD. --- ## Sumário Executivo A semana W07/2026 foi a mais significativa do mês de fevereiro em termos de volume e gravidade de vulnerabilidades. O **Patch Tuesday de fevereiro da [[_microsoft|Microsoft]]**, lançado em 10 de fevereiro, corrigiu **59 vulnerabilidades** incluindo **seis zero-days ativamente explorados** - o maior número de zero-days em um único Patch Tuesday desde agosto de 2024. Todas as seis vulnerabilidades foram adicionadas ao catálogo **CISA KEV** entre 10 e 12 de fevereiro, com prazo de remediação acelerado. As zero-days abrangem componentes críticos do ecossistema Windows e [[Office]]: desde bypass de SmartScreen ([[cve-2026-21510|CVE-2026-21510]]) e MSHTML ([[cve-2026-21513|CVE-2026-21513]]) - vetores clássicos de engenharia social - até escalações de privilégio no Desktop Window Manager ([[cve-2026-21519|CVE-2026-21519]]) e RDP Services ([[cve-2026-21533|CVE-2026-21533]]) que permitem obtenção de privilégios SYSTEM. O [[cve-2026-21514|CVE-2026-21514]] afeta o [[Microsoft Word]] permitindo bypass de mitigações OLE, enquanto o [[cve-2026-21525|CVE-2026-21525]] causa negação de serviço no Windows Remote Access Connection Manager, impactando infraestrutura VPN. Além dos zero-days, o Patch Tuesday incluiu correções críticas para [[cve-2026-21248|CVE-2026-21248]] (Hyper-V RCE) e [[cve-2026-21531|CVE-2026-21531]] (Azure SDK Python RCE), além de múltiplas vulnerabilidades RCE no GitHub Copilot. Separadamente, relatórios desta semana revelaram que o [[g0007-apt28|APT28]] (Fancy Bear) explorou o [[cve-2026-21509|CVE-2026-21509]] (zero-day no Microsoft Office) em campanha de engenharia social contra alvos do Leste Europeu. **Nível de ameaça geral para LATAM esta semana:** 🟨 Médio --- ## Vulnerabilidades Críticas da Semana | CVE | CVSS | Produto | Exploração | CISA KEV | Ação | |-----|------|---------|------------|----------|------| | [[cve-2026-21510\|CVE-2026-21510]] | 8.8 | Windows Shell (SmartScreen) | Zero-day ativa | ✅ (10/02) | **Patch urgente** | | [[cve-2026-21513\|CVE-2026-21513]] | 8.8 | MSHTML Framework | Zero-day ativa | ✅ (10/02) | **Patch urgente** | | [[cve-2026-21514\|CVE-2026-21514]] | 7.8 | Microsoft Word | Zero-day ativa | ✅ (11/02) | **Patch Office** | | [[cve-2026-21519\|CVE-2026-21519]] | 7.8 | Desktop Window Manager | Zero-day EoP | ✅ (11/02) | **Patch Windows** | | [[cve-2026-21525\|CVE-2026-21525]] | 6.2 | Remote Access Connection Mgr | Zero-day DoS | ✅ (12/02) | **Patch VPN infra** | | [[cve-2026-21533\|CVE-2026-21533]] | 7.8 | RDP Services | Zero-day EoP | ✅ (12/02) | **Patch RDP** | | [[cve-2026-21248\|CVE-2026-21248]] | Crítico | Hyper-V | RCE (sem exploit público) | ❌ | **Patch hypervisors** | | [[cve-2026-21531\|CVE-2026-21531]] | Alto | Azure SDK Python | RCE | ❌ | **Atualizar SDK** | | [[cve-2026-21509\|CVE-2026-21509]] | Alto | Microsoft Office | Zero-day (APT28) | ❌ | **Patch Office** | ### CVE em Destaque: [[cve-2026-21510|CVE-2026-21510]] - Windows Shell SmartScreen Bypass O [[cve-2026-21510|CVE-2026-21510]] é um **bypass de recurso de segurança** no Windows Shell que permite contornar as proteções do SmartScreen. Com CVSS 8.8, um atacante pode induzir a vítima a clicar em um link malicioso que executa código sem que o SmartScreen exiba o aviso de proteção habitual. O SmartScreen é a primeira linha de defesa do Windows contra downloads e execuções maliciosas. Quando esta proteção é contornada, a cadeia de ataque completa fica significativamente mais eficiente - o usuário não recebe nenhum aviso visual de perigo. > [!danger] Ação Recomendada > Aplicar imediatamente a atualização de fevereiro do Windows em todos os endpoints. Esta vulnerabilidade é especialmente perigosa em combinação com campanhas de phishing - o bypass do SmartScreen remove a última barreira entre o clique do usuário e a execução do payload malicioso. Reforçar treinamento de conscientização sobre links suspeitos. --- ## Campanhas e Threat Actors ### [[g0007-apt28|APT28]] (Fancy Bear) - Campanha de Engenharia Social no Leste Europeu Relatórios publicados durante a semana W07 revelaram que o [[g0007-apt28|APT28]] explorou o [[cve-2026-21509|CVE-2026-21509]], uma vulnerabilidade zero-day no [[Microsoft Office]], em campanha direcionada a entidades governamentais e diplomáticas do Leste Europeu. **Cadeia de ataque observada:** 1. **Spear-phishing** com documentos Office contendo exploit para CVE-2026-21509 2. **Execução de código** sem interação adicional do usuário ao abrir o documento 3. **Deploy de implante** - backdoor customizado com C2 via infraestrutura comprometida 4. **Exfiltração** de documentos sensíveis e credenciais TTPs observados: - [[t1566-001-spearphishing-attachment|T1566.001 - Spearphishing Attachment|T1566.001]] - Documentos Office weaponizados - [[t1203-exploitation-client-execution|T1203 - Exploitation for Client Execution|T1203]] - Exploit de zero-day no Office - [[t1005-data-from-local-system|T1005 - Data from Local System|T1005]] - Coleta de documentos sensíveis - [[t1041-exfiltration-c2|T1041 - Exfiltration Over C2 Channel|T1041]] - Exfiltração via canal de C2 > [!warning] Contexto Geopolítico > O [[g0007-apt28|APT28]], atribuído ao GRU russo, mantém foco persistente em alvos governamentais europeus. Embora esta campanha específica mire o Leste Europeu, embaixadas e escritórios diplomáticos brasileiros na região podem ser alvos colaterais. ### Microsoft Patch Tuesday - Análise de Impacto O volume de seis zero-days em um único Patch Tuesday é excepcional. A análise dos vetores revela uma estrategia de ataque multicamada: **Camada 1 - Acesso Inicial:** - [[cve-2026-21510|CVE-2026-21510]] (SmartScreen bypass) + [[cve-2026-21513|CVE-2026-21513]] (MSHTML bypass) → remoção de barreiras de segurança para entrega de payloads - [[cve-2026-21514|CVE-2026-21514]] (Word OLE bypass) → documentos Office como vetor **Camada 2 - Escalação de Privilégios:** - [[cve-2026-21519|CVE-2026-21519]] (DWM type confusion) → SYSTEM - [[cve-2026-21533|CVE-2026-21533]] (RDP Services) → SYSTEM **Camada 3 - Impacto:** - [[cve-2026-21525|CVE-2026-21525]] (VPN DoS) → disrupção de infraestrutura de acesso remoto Esta combinação permite uma cadeia completa: phishing → execução → escalação → controle total. --- ## LATAM / Brasil > [!warning] Alerta de Nível Médio A combinação de seis zero-days Windows com exploração ativa representa risco elevado para organizações brasileiras. A dependência massiva de ambientes Windows no Brasil - tanto no setor público quanto privado - amplifica o impacto potencial. ### Impacto Específico para o Brasil - **SmartScreen bypass** ([[cve-2026-21510|CVE-2026-21510]]): ataques de phishing contra usuários brasileiros frequentemente utilizam engenharia social em português - a remoção da proteção SmartScreen torna estas campanhas significativamente mais eficazes - **RDP** ([[cve-2026-21533|CVE-2026-21533]]): o Brasil tem alta exposição de serviços RDP na internet (consistentemente entre top 5 globais em varreduras Shodan) - **VPN** ([[cve-2026-21525|CVE-2026-21525]]): empresas brasileiras que adotaram trabalho remoto/híbrido dependem de infraestrutura VPN Windows - DoS nestes serviços causa disrupção operacional ### Recomendações Específicas Brasil - Organizações com WSUS/SCCM devem priorizar deploy das atualizações de fevereiro - SOCs brasileiros devem aumentar sensibilidade para alertas de SmartScreen bypass - Equipes de infraestrutura devem verificar exposição de RDP e VPN Windows --- ## TTPs em Destaque ### [[t1218-system-binary-proxy-execution|T1218 - System Binary Proxy Execution|T1218]] + SmartScreen Bypass - Evasão em Cadeia O bypass do SmartScreen ([[cve-2026-21510|CVE-2026-21510]]) frequentemente é combinado com técnicas de proxy execution para máxima evasão. Atacantes utilizam binários legítimos do Windows (LOLBins) para executar payloads após contornar o SmartScreen: **Cadeia típica:** 1. Link malicioso → SmartScreen bypass (CVE-2026-21510) 2. Download de script/payload para disco 3. Execução via `mshta.exe`, `rundll32.exe` ou `regsvr32.exe` ([[t1218-system-binary-proxy-execution|T1218]]) 4. Payload final carregado em memória **Detecção:** - Monitorar execuções de `mshta.exe`, `rundll32.exe`, `regsvr32.exe` com argumentos de rede (URLs) - Alertar sobre processos filhos incomuns de browsers (Chrome, Edge, Firefox gerando cmd.exe/powershell.exe) - Implementar regras ASR (Attack Surface Reduction) da Microsoft para bloquear Office de criar processos filhos - Correlacionar eventos de SmartScreen (Windows Defender Event ID 1116) com execuções subsequentes --- ## Recomendações 1. ⏫ **Aplicar Patch Tuesday de fevereiro imediatamente** - 6 zero-days com exploração ativa confirmada pela CISA 2. ⏫ **Priorizar CVE-2026-21510 e CVE-2026-21513** - bypass de SmartScreen e MSHTML são vetores de phishing diretos 3. ⏫ **Patch Microsoft Office** - CVE-2026-21514 (Word) e CVE-2026-21509 (APT28 zero-day) 4. 🔼 **Patch Hyper-V** - CVE-2026-21248 RCE sem exploit público, mas criticidade alta em ambientes virtualizados 5. 🔼 **Verificar exposição RDP** - CVE-2026-21533 permite EoP para SYSTEM em serviços RDP 6. 🔼 **Atualizar Azure SDK Python** - CVE-2026-21531 afeta pipelines de desenvolvimento 7. 🔽 **Monitorar campanha APT28** - embaixadas e entidades com conexões ao Leste Europeu devem reforçar vigilância --- ## Referências 1. Microsoft MSRC - [February 2026 Security Updates](https://msrc.microsoft.com/update-guide/releaseNote/2026-Feb) 2. CISA - [Known Exploited Vulnerabilities Catalog - February 2026](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) 3. The Hacker News - [Microsoft Patches 59 Vulnerabilities Including 6 Zero-Days](https://thehackernews.com/) 4. BleepingComputer - [Microsoft February 2026 Patch Tuesday Fixes 6 Exploited Zero-Days](https://www.bleepingcomputer.com/) 5. Mandiant - [APT28 Exploits Microsoft Office Zero-Day in Eastern Europe Campaign](https://www.mandiant.com/resources/blog/) 6. NVD - [CVE-2026-21510 Detail](https://nvd.nist.gov/vuln/detail/CVE-2026-21510) 7. NVD - [CVE-2026-21248 Detail](https://nvd.nist.gov/vuln/detail/CVE-2026-21248) 8. SANS ISC - [February 2026 Patch Tuesday Analysis](https://isc.sans.edu/) --- --- *Próximo: [[2026-w08|W08]] · Anterior: [[2026-w06|W06]] · Arquivo: [[_weekly|Todas as edições]] · [[_feed|Feed CTI]]*