CVE-2026-81963: Elevação de Privilégio por Link Following no Microsoft Windows Update Stack (CWE-59)
O Microsoft Windows Update Stack apresenta uma falha de link following (CWE-59) que permite a um usuário local autorizado elevar privilégios, com pontuação base CVSS 3.1 de 7,8 informada pelo CNA. A CISA incluiu o CVE-2026-81963 no catálogo de Vulnerabilidades Exploradas Conhecidas, por isso os sistemas afetados devem ser priorizados para a correção do fabricante. O registro lista compilações afetadas do Windows 11 e do Windows Server 2025 com seus limites de versão.
Visão geral
O CVE-2026-81963 é uma fragilidade de link following (CWE-59) no Windows Update Stack. A resolução imprópria de link antes do acesso a arquivo permite que um atacante com acesso local autorizado eleve privilégios. A Microsoft publica a vulnerabilidade como CNA e a acompanha no guia de atualizações do MSRC.
Impacto
O vetor informado pelo CNA é CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H, com pontuação base de 7,8 (alta). O vetor indica acesso local, baixa complexidade, baixos privilégios exigidos, nenhuma interação do usuário, escopo inalterado e alto impacto na confidencialidade, integridade e disponibilidade. A descrição restringe o impacto à elevação local de privilégios.
Produtos e versões afetadas
O registro lista os seguintes produtos Windows e intervalos de compilação afetados:
- Microsoft Windows 11 23H2: de 10.0.22631.0 até antes de 10.0.22631.7582
- Microsoft Windows 11 24H2: de 10.0.26100.0 até antes de 10.0.26100.9445
- Microsoft Windows 11 25H2: de 10.0.26200.0 até antes de 10.0.26200.9445
- Microsoft Windows 11 26H1: de 10.0.28000.0 até antes de 10.0.28000.2954
- Microsoft Windows Server 2025, incluindo a instalação Server Core: de 10.0.26100.0 até antes de 10.0.26100.33438
Sistemas com compilações iguais ou superiores a esses limites não aparecem como afetados no registro. Confirme o número exato da sua compilação com a orientação do MSRC.
Status de exploração
A entrada do catálogo KEV da CISA mostra este CVE como listado, com data de inclusão em 2026-09-08 e prazo em 2026-09-22. Assim, a exploração ativa na natureza é reportada pelo catálogo KEV. O campo de exploração SSVC também está marcado como ativo, enquanto a automatização está como não e o uso em ransomware é desconhecido.
Correção e mitigação
- Aplique a atualização de segurança da Microsoft para as compilações afetadas listadas no aviso do MSRC, já que o registro referencia uma correção.
- Priorize sistemas com acesso local de usuários, estações compartilhadas e servidores com direitos amplos de logon local.
- Siga as instruções de mitigação do fabricante e a ação requerida do KEV, que remete à orientação BOD 26-04 da CISA.
- Se não for possível aplicar a correção, a ação requerida do KEV recomenda descontinuar o uso do produto afetado até que existam mitigações; confirme com o fabricante as opções provisórias antes de agir.
Orientação para detecção
- Revise registros de endpoints e do sistema em busca de mudanças inesperadas de privilégio ou processos com direitos elevados em hosts Windows 11 e Windows Server 2025.
- Inventarie os números de compilação de todo o parque para identificar hosts abaixo dos limites corrigidos.
- Monitore operações incomuns de arquivos em diretórios relacionados a atualizações, descritas em nível geral, para apoiar a investigação.
Limitações das informações disponíveis
O registro não inclui detalhes técnicos sobre o caminho exato do arquivo, o comportamento do componente ou as condições de disparo, e não descreve uma prova de conceito. Detalhes de correção além da referência de patch não são fornecidos. Os dados do EPSS são de 2026-10-23, posterior à data de publicação indicada, então o momento deve ser confirmado na fonte. A associação com ransomware é desconhecida.
Perguntas frequentes
O CVE-2026-81963 está sendo explorado ativamente?
Sim, segundo a entrada do catálogo KEV da CISA presente no registro, com inclusão em 2026-09-08 e prazo em 2026-09-22. O campo de exploração do SSVC também está marcado como ativo.
O que um atacante precisa para explorar essa falha?
O vetor do CNA indica acesso local com baixos privilégios e sem interação do usuário. O registro não descreve as condições exatas, e este portal não fornece detalhes de exploração.
Quais versões do Windows são afetadas?
O registro lista Windows 11 23H2, 24H2, 25H2 e 26H1, além do Windows Server 2025 incluindo Server Core, cada um com um intervalo de compilação que termina antes de um número fixo.
O que os administradores devem fazer primeiro?
Aplicar a atualização da Microsoft nas compilações afetadas, priorizar hosts com amplo acesso local e seguir a orientação do fabricante e a ação requerida do KEV.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.