MSHTML Framework Security Feature Bypass Vulnerability

Falha de bypass de mecanismo de proteção (CWE-693) no MSHTML Framework, o motor de renderização legado do Internet Explorer ainda embutido no Windows e usado por componentes como Office, WebBrowser Control e diversos aplicativos que renderizam HTML/OLE. A CISA confirmou exploração ativa e incluiu a falha no catálogo KEV com prazo de correção em 03/03/2026. O CVSS 8.8 com impacto alto em confidencialidade, integridade e disponibilidade indica que o bypass, sozinho, viabiliza consequências severas — típico de falhas MSHTML que retiram proteções como Mark of the Web e abrem caminho para execução de conteúdo que normalmente seria bloqueado ou executado em modo restrito.

A descrição oficial da Microsoft e o CWE atribuído (CWE-693 — Protection Mechanism Failure) indicam que o problema está em um controle de segurança do MSHTML que falha em aplicar a restrição para a qual foi projetado, permitindo que um atacante contorne essa barreira sem quebrar nenhuma outra defesa. As fontes disponíveis não detalham qual mecanismo específico é contornado (não há confirmação pública, nas referências consultadas, de que se trate de Mark of the Web, zonas de segurança do IE, Protected View ou outro controle específico) — qualquer afirmação nesse sentido seria especulação, e o texto oficial completo do MSRC não estava acessível no momento da apuração.

O vetor CVSS (AV:N/AC:L/PR:N/UI:R) mostra que o ataque é remoto, de baixa complexidade, não exige privilégios prévios, mas depende de interação do usuário — padrão consistente com falhas MSHTML históricas, em que a vítima precisa abrir um arquivo, documento ou link malicioso para acionar o componente de renderização vulnerável.

O fato de C/I/A estarem marcados como High no vetor, para uma vulnerabilidade classificada como 'security feature bypass', sugere que o bypass tem valor prático como etapa habilitadora de um impacto maior (por exemplo, permitir que conteúdo não confiável seja tratado como confiável, abrindo caminho para execução de código ou manipulação de dados) — mas essa cadeia completa não está documentada nas fontes lidas.

A CISA confirma exploração ativa no mundo real (presença no catálogo KEV), mas as fontes consultadas não descrevem a campanha, o payload final nem táticas específicas dos atacantes, e não há indicação de uso confirmado em ransomware ('Known To Be Used in Ransomware Campaigns: Unknown', segundo a própria entrada da CISA). O requisito UI:R do vetor CVSS indica que o vetor mais provável envolve engenharia social — a vítima precisa interagir com um arquivo ou conteúdo malicioso (por exemplo, abrir um documento ou visualizar conteúdo HTML/OLE processado pelo MSHTML) para que o mecanismo de proteção seja contornado.

Como é classificada como bypass de segurança e não como execução remota de código isolada, é provável que a exploração observada combine esta falha com outro componente (um payload, macro, arquivo com extensão manipulada ou objeto incorporado) para atingir o impacto final; esse é o padrão recorrente em vulnerabilidades MSHTML anteriores, mas a cadeia exata usada contra CVE-2026-21513 não está documentada nas referências disponíveis.

Não há, nas fontes consultadas, detalhamento técnico suficiente sobre pré-condições adicionais (configuração não padrão, aplicativo específico que precisa estar instalado, etc.) além do que consta no vetor CVSS. Isso limita a precisão desta seção — o leitor deve tratar 'exploração confirmada pela CISA' como fato estabelecido, mas o mecanismo exato de entrega ainda não está publicamente detalhado nas fontes que tivemos acesso.

A ação recomendada pela CISA é aplicar as mitigações conforme instruções do fornecedor ou, na ausência delas, descontinuar o uso do produto (linguagem padrão do catálogo KEV para vulnerabilidades sem mitigação alternativa clara). Não foi possível localizar, nas fontes consultadas, o número da atualização de segurança (KB) da Microsoft nem a versão de build exata que corrige a falha para cada ramo do Windows listado — o MSRC é a fonte oficial para esses números e deve ser consultado diretamente para o catálogo de atualizações aplicável a cada versão (Windows 10 1607/1809/21H2/22H2, Windows 11 22H3/23H2/24H2/25H2).

Agências federais americanas sujeitas à BOD 22-01 têm prazo até 03/03/2026 para remediar, segundo a CISA; esse prazo é um bom parâmetro de urgência para qualquer ambiente corporativo, dado que a exploração já é ativa.

Não há, nas fontes disponíveis, registro de um paliativo de configuração (como uma flag de registro ou GPO) que neutralize o bypass sem o patch — presumir que desabilitar componentes legados de IE/MSHTML resolve o problema sem confirmação oficial é arriscado, já que o MSHTML permanece carregado por diversos processos do Windows mesmo com o Internet Explorer 'desativado' na interface. A recomendação segura é tratar a atualização oficial da Microsoft como a única mitigação validada até que o advisory completo detalhe alternativas.

As fontes consultadas (incluindo os posts da Vicarius/vSociety referenciados) não trazem indicadores de comprometimento, assinaturas de log ou padrões de tráfego específicos publicamente descritos para esta CVE — os links apontam para 'scripts de detecção e mitigação' de terceiros, mas o conteúdo técnico desses scripts não estava disponível para análise. Não há, portanto, um sinal confiável e documentado de exploração para orientar SOCs neste momento; monitorar abertura de arquivos/documentos que acionam componentes MSHTML (por exemplo, controles OLE, HTML renderizado por aplicações legadas) e correlacionar com processos filhos anômalos é uma prática genérica razoável enquanto detalhes técnicos oficiais não são publicados.