CVE-2026-41090: Vulnerabilidade de Injeção de Comando no Microsoft Copilot
A CVE-2026-41090 é uma fraqueza de injeção de comando (CWE-77) no Microsoft Copilot que, segundo o CNA, permite a um atacante não autorizado realizar adulteração pela rede. A pontuação CVSS fornecida pelo CNA é 9.3, com severidade crítica. As fontes consultadas não indicam exploração ativa, e o registro não traz versões corrigidas.
Visão geral
A CVE-2026-41090 afeta o Microsoft Copilot e é classificada como injeção de comando (CWE-77). A descrição do CNA informa que um atacante não autorizado pode realizar adulteração pela rede. A referência principal é o aviso do Microsoft Security Response Center.
Impacto
- O vetor CVSS fornecido pelo CNA indica alto impacto na confidencialidade e alto impacto na integridade, sem impacto na disponibilidade.
- O vetor também indica que não são necessários privilégios, que é necessária interação do usuário e que o escopo é alterado.
- Os dados SSVC do registro apontam impacto técnico total, ausência de exploração atual e que o problema não é automatizável.
Produtos e versões afetadas
- Microsoft 365 Copilot: a fonte não especifica as versões.
- Microsoft 365 Copilot para iOS: o registro não traz valor de versão.
- O registro não lista números de versão, por isso nenhum é informado aqui. Consulte o aviso do fabricante para o escopo exato das compilações afetadas.
Status de exploração
O catálogo Known Exploited Vulnerabilities da CISA não lista esta CVE no registro. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS no registro é baixa.
Correção e mitigação
- O registro não contém versões corrigidas nem lista de correções. A ausência desses dados não significa que não exista correção; consulte o aviso do fabricante para orientações atuais.
- Aplique as atualizações do fabricante para o Microsoft 365 Copilot e para o cliente iOS assim que estiverem disponíveis no seu ambiente.
- Restrinja o acesso a recursos do Copilot para conteúdo não confiável e limite permissões de ferramentas e plugins quando os controles administrativos permitirem.
Orientações de detecção
- Revise logs de auditoria do fabricante e telemetria administrativa em busca de solicitações incomuns ao Copilot, invocações inesperadas de ferramentas ou alterações de dados.
- Monitore relatos de usuários sobre prompts ou documentos que causaram comportamento inesperado, já que o vetor exige interação do usuário.
Limitações das informações disponíveis
O registro não informa versões afetadas ou corrigidas, o caminho exato de ataque nem os componentes específicos envolvidos. A pontuação CVSS vem do registro do CNA e não foi verificada de forma independente nas fontes aqui usadas. Trate esta avaliação como provisória até que o aviso do fabricante seja analisado.
Perguntas frequentes
O que é a CVE-2026-41090?
É uma fraqueza de injeção de comando (CWE-77) no Microsoft Copilot que, segundo o CNA, permite a um atacante não autorizado realizar adulteração pela rede.
Esta CVE é explorada ativamente?
O registro mostra que ela não está listada no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Quais versões são afetadas?
O registro não especifica versões afetadas, por isso nenhum número de versão pode ser informado. Consulte o aviso do fabricante para detalhes.
O que os administradores devem fazer agora?
Siga o aviso do fabricante, aplique as atualizações assim que estiverem disponíveis e restrinja conteúdo não confiável e permissões de ferramentas quando possível.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.