Microsoft Word Security Feature Bypass Vulnerability

Falha de bypass de recurso de segurança no Microsoft Word, decorrente de o aplicativo confiar em uma entrada não confiável ao tomar uma decisão de segurança (CWE-807). Afeta as linhas atuais do Office (Microsoft 365 Apps, Office LTSC 2021/2024, incluindo Mac) e já está no catálogo KEV da CISA com exploração confirmada, apesar do EPSS baixo (0,015) — ou seja, é usada em campanhas direcionadas, não em escala massiva automatizada.

O CWE associado, Reliance on Untrusted Inputs in a Security Decision, descreve uma classe de falha em que o software usa um dado que pode ser manipulado pelo atacante (nome de arquivo, metadado, cabeçalho, atributo do próprio documento) como base para decidir se aplica ou não uma proteção. No caso do Word, esse padrão historicamente aparece em mecanismos como Mark of the Web (MoTW) e Protected View, que decidem se um documento aberto veio de origem não confiável e, portanto, deve ser aberto em modo restrito, bloqueando macros e conteúdo ativo.

O vetor CVSS informado (AV:L/AC:L/PR:N/UI:R) indica execução local, sem necessidade de privilégio prévio, mas com interação obrigatória do usuário — compatível com o padrão 'usuário abre um documento malicioso'. O impacto declarado como C:H/I:H/A:H é alto para uma vulnerabilidade descrita como 'bypass de recurso de segurança', o que sugere que o bypass em si é a porta de entrada para uma consequência mais grave (por exemplo, execução de macro ou código embutido que seria bloqueado se a decisão de confiança fosse feita corretamente).

As fontes disponíveis no momento desta análise não detalham qual campo específico o documento controla para induzir a decisão errada, nem o fluxo de código exato no Word. O advisory oficial do MSRC (referenciado, mas sem conteúdo técnico acessado nesta pesquisa) é a fonte primária a consultar para esse detalhe; nenhuma análise de pesquisador independente foi localizada até a publicação desta página.

A exploração exige que a vítima abra um documento do Word malicioso (UI:R) — o vetor de entrega típico é e-mail com anexo ou link para download, mas isso não está confirmado nas fontes lidas. Não há indicação de exploração remota sem interação: a CVE é classificada como AV:L (ataque local ao processo/arquivo), o que é o padrão para vulnerabilidades que dependem da abertura de um arquivo pelo usuário, não de um serviço de rede exposto.

A nota da CISA no catálogo KEV descreve o efeito como permitir que um 'atacante autorizado eleve privilégios localmente', enquanto a descrição do MSRC fala em 'atacante não autorizado' contornando um recurso de segurança. Essa divergência de linguagem entre as duas fontes oficiais é relevante: sugere que o bypass do recurso de segurança (provavelmente uma proteção contra conteúdo não confiável) é o passo que, combinado com outra ação, resulta em ganho de privilégio ou execução — não é necessariamente um fim em si mesmo.

A CISA confirma exploração ativa (presença no catálogo KEV, adicionado em 10/02/2026, com prazo de correção até 03/03/2026), mas não classifica a CVE como usada em campanhas de ransomware conhecidas ('Known To Be Used in Ransomware Campaigns: Unknown'). O EPSS baixo (1,5%) reforça a leitura de exploração direcionada e de baixo volume, não massificada.

A ação recomendada pela CISA é aplicar as mitigações do fornecedor conforme o advisory do MSRC — atualizar para a versão corrigida do Word/Office na linha correspondente (Microsoft 365 Apps for Enterprise, Office LTSC 2021, Office LTSC 2024, e as respectivas versões para Mac). As fontes consultadas não trazem os números de build ou KB específicos de correção; é necessário verificar diretamente o advisory do MSRC (link nas fontes) para o número exato da atualização aplicável a cada canal e linha de produto antes de considerar o ambiente corrigido.

Como controle compensatório enquanto a atualização não é aplicada: reforçar políticas que bloqueiam a abertura automática de conteúdo ativo em documentos originados da internet (Protected View, bloqueio de macros por política de grupo/Intune), e tratar anexos do Office recebidos por e-mail ou download com o mesmo nível de suspeita que se trataria um executável, já que o mecanismo que normalmente sinalizaria o documento como não confiável é exatamente o que está sendo contornado.

Atualizar o Office sem confirmar a versão de build não é mitigação garantida — como não há confirmação pública do número de build corrigido nas fontes disponíveis, a verificação deve ser feita contra o advisory oficial do MSRC, não apenas contra a data de instalação do pacote de atualizações mensal.

Não há assinatura ou indicador de comprometimento público associado a esta CVE nas fontes consultadas. Como a exploração depende de um documento do Word especialmente construído que induz o aplicativo a tomar uma decisão de confiança incorreta, o sinal mais prático a monitorar é comportamental: documentos do Office que, após aberto, executam macro, código ou conteúdo ativo sem o aviso/bloqueio esperado de Protected View ou Mark of the Web — especialmente vindos de e-mail ou download externo. Ambientes com telemetria de EDR devem observar processos filhos anômalos originados do WINWORD.EXE (spawn de scripts, LOLBins, ou conexões de rede inesperadas) como indício de bypass bem-sucedido, já que não há padrão de log nativo do Office documentado publicamente para esta CVE específica.