CVE-2026-27928: Bypass de Segurança em Windows Hello
Plataforma
windows
Componente
windows-hello
Corrigido em
10.0.26100.32690
A vulnerabilidade CVE-2026-27928 reside no Windows Hello, um sistema de autenticação biométrica do Windows. Esta falha permite que um atacante não autorizado contorne uma funcionalidade de segurança através de uma conexão de rede, potencialmente comprometendo a autenticação do usuário. As versões afetadas são aquelas anteriores ou iguais a 10.0.26100.32690. A Microsoft lançou uma correção na versão 10.0.26100.32690.
Impacto e Cenários de Ataque
Um atacante explorando esta vulnerabilidade pode, efetivamente, se passar por um usuário legítimo sem a necessidade de credenciais biométricas válidas. Isso pode levar ao acesso não autorizado a dados confidenciais, sistemas e recursos. O impacto é amplificado em ambientes onde o Windows Hello é a principal forma de autenticação, como em dispositivos corporativos ou em cenários de acesso remoto. A capacidade de contornar a segurança pela rede aumenta significativamente o potencial de ataque, permitindo que invasores explorem a vulnerabilidade remotamente, sem a necessidade de acesso físico ao dispositivo. Embora não haja relatos públicos de exploração ativa, a natureza da vulnerabilidade, que permite o bypass de autenticação, a torna um alvo atraente para atacantes.
Contexto de Exploração
A Microsoft divulgou esta vulnerabilidade em 14 de abril de 2026. A pontuação CVSS de 8.7 (ALTO) indica um risco significativo. Atualmente, não há evidências públicas de exploração ativa da vulnerabilidade. A vulnerabilidade foi adicionada ao Catálogo de Vulnerabilidades Conhecidas (KEV) da CISA, indicando que ela representa um risco significativo para agências federais dos EUA. A probabilidade de exploração é considerada média, dada a complexidade da exploração e a necessidade de acesso de rede, mas o impacto potencial é alto devido à possibilidade de bypass de autenticação.
Inteligência de Ameaças
Status do Exploit
EPSS
0.08% (percentil 23%)
Vetor CVSS
O que significam essas métricas?
- Attack Vector
- Rede — explorável remotamente pela internet. Sem acesso físico ou local necessário.
- Attack Complexity
- Alta — exige condição de corrida, configuração não padrão ou circunstâncias específicas.
- Privileges Required
- Nenhum — sem autenticação necessária para explorar.
- User Interaction
- Nenhuma — ataque automático e silencioso. A vítima não faz nada.
- Scope
- Alterado — o ataque pode pivotar para além do componente vulnerável.
- Confidentiality
- Alto — perda total de confidencialidade. O atacante pode ler todos os dados.
- Integrity
- Alto — o atacante pode escrever, modificar ou excluir qualquer dado.
- Availability
- Nenhum — sem impacto na disponibilidade.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Publicada
- Modificada
- EPSS atualizado
Mitigação e Soluções Alternativas
A mitigação primária para CVE-2026-27928 é a atualização para a versão corrigida do Windows (10.0.26100.32690 ou superior). Em ambientes onde a atualização imediata não é possível, considere implementar medidas de segurança adicionais, como a autenticação multifator (MFA), para adicionar uma camada extra de proteção. A MFA exige que os usuários forneçam múltiplas formas de verificação, tornando mais difícil para um atacante obter acesso, mesmo que a vulnerabilidade seja explorada. Verifique se as políticas de grupo estão configuradas corretamente para garantir que os usuários estejam utilizando as versões mais recentes do Windows Hello e que as configurações de segurança estejam otimizadas. Após a atualização, confirme a correção verificando a versão do Windows e realizando testes de autenticação para garantir que a funcionalidade Windows Hello esteja operando conforme o esperado.
Como corrigirtraduzindo…
Instale las actualizaciones de seguridad de Microsoft para proteger su sistema. Estas actualizaciones corrigen una vulnerabilidad que permite a un atacante no autorizado omitir una característica de seguridad de Windows Hello a través de una red. Asegúrese de aplicar las actualizaciones lo antes posible para mitigar el riesgo.
Perguntas frequentes
O que é CVE-2026-27928 — Bypass de Segurança em Windows Hello?
CVE-2026-27928 é uma vulnerabilidade de bypass de segurança no Windows Hello que permite a um atacante contornar a autenticação biométrica pela rede, afetando versões ≤10.0.26100.32690.
Estou afetado pelo CVE-2026-27928 em Windows Hello?
Sim, se você estiver utilizando uma versão do Windows anterior ou igual a 10.0.26100.32690, você está potencialmente afetado por esta vulnerabilidade.
Como corrigir CVE-2026-27928 em Windows Hello?
A correção é a atualização para a versão 10.0.26100.32690 ou superior do Windows. Considere também implementar a autenticação multifator (MFA) como medida adicional.
CVE-2026-27928 está sendo ativamente explorado?
Atualmente, não há evidências públicas de exploração ativa, mas a vulnerabilidade é considerada de alto risco devido ao seu potencial impacto.
Onde posso encontrar o aviso oficial da Microsoft para CVE-2026-27928?
Consulte o site da Microsoft Security Response Center (MSRC) para obter informações detalhadas e o aviso oficial: [https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-27928](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-27928)
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Experimente agora — sem conta
Faça upload de qualquer manifesto (composer.lock, package-lock.json, lista de plugins WordPress…) ou cole sua lista de componentes. Receba um relatório de vulnerabilidades instantaneamente. Fazer upload de um arquivo é só o começo: com uma conta, você obtém monitoramento contínuo, alertas por Slack/email, relatórios multiprojeto e white-label.
Arraste e solte seu arquivo de dependências
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...