Patch do Windows Defender pode permitir ataque que enche o disco

O que aconteceu

Na quarta-feira, a Microsoft afirmou ter corrigido o RoguePlanet (CVE-2026-50656) com uma atualização do Microsoft Malware Protection Engine, o mecanismo de segurança usado pelo Windows Defender (Ars Technica). A correção é baixada e instalada automaticamente, sem nenhuma ação do usuário, e inclui "atualizações de defesa em profundidade" para melhorar recursos de segurança. No dia seguinte, porém, NightmareEclipse, o pesquisador que descobriu a falha, publicou uma análise afirmando que as novas mitigações produzem um comportamento que pode permitir a um atacante esgotar todo o espaço disponível no disco rígido, gravando grandes volumes de dados.

Segundo o pesquisador, as mitigações introduzidas criam um problema na mpengine.dll, o driver associado ao mecanismo de proteção, que em alguns casos vaza 8 bytes de dados ao tentar abrir um arquivo. A nova funcionalidade do SpyNet, serviço em nuvem que permite ao Defender enviar relatórios de software suspeito à Microsoft, também participa do comportamento de gravação em massa. O Defender normalmente impõe limites rígidos ao tamanho de arquivo que pode ser gravado em operações de varredura e quarentena — justamente para evitar esse tipo de exaustão de disco.

"Faz sentido essa implementação, porque colocar em quarentena um arquivo enorme fará o Defender esgotar completamente o espaço disponível em disco", escreveu o pesquisador. "Encontrei uma pequena exceção a essa regra: aparentemente as funções do SpyNet na mpengine.dll querem manter uma cópia local do arquivo Zone.Identifier ADS, e não importa o tamanho desse arquivo, o Windows Defender vai armazená-lo em cache localmente de qualquer forma."

Contexto

O RoguePlanet veio a público em junho, quando NightmareEclipse, nome pseudônimo usado pelo pesquisador, divulgou a vulnerabilidade junto com código de exploração. A falha permite que um atacante remoto obtenha controle administrativo de máquinas Windows 10 e Windows 11, mesmo com a proteção em tempo real desativada (Ars Technica). Nos últimos meses, o pesquisador anônimo publicou outros zero-days que levaram a Microsoft a correr para desenvolver patches.

Por que importa

A situação importa em dois níveis. Para o usuário, a falha original concedia a um atacante remoto controle administrativo da máquina — acesso total ao sistema. Agora, a própria correção pode abrir espaço para um ataque de negação de serviço, em que o disco é preenchido até ficar sem espaço livre, deixando o PC lento ou inutilizável. Como a atualização chega automaticamente a milhões de máquinas, qualquer efeito colateral ganha escala imediata. Em ambientes corporativos, máquinas com disco cheio significam interrupção de operação e custo de suporte.

Impacto

No curto prazo, o comportamento relatado pode ser explorado para derrubar máquinas sem grandes requisitos técnicos: basta que o alvo rode o Defender atualizado. No médio prazo, o episódio agrava o desgaste entre a Microsoft e a comunidade de segurança. A empresa precisa responder a divulgações públicas de zero-days e, ao mesmo tempo, garantir que suas mitigações não introduzam novas vulnerabilidades. A disputa entre NightmareEclipse e a Microsoft não mostra sinais de resolução tão cedo (Ars Technica).

O que muda

A atualização altera o comportamento do mecanismo de proteção em dois pontos. Na mpengine.dll, que passa a vazar 8 bytes em determinadas operações de abertura de arquivo. No SpyNet, que passa a manter cópias locais de arquivos Zone.Identifier ADS sem respeitar o limite de tamanho aplicado a outras operações de escrita. Na prática, a proteção que deveria impedir a gravação de arquivos enormes em quarentena ganhou uma exceção potencialmente explorável.

O que vem agora

O desfecho ainda é incerto. O material consultado não registra resposta da Microsoft ao novo relato de NightmareEclipse, e a disputa entre as duas partes não mostra sinais de trégua. Se o comportamento for confirmado, a expectativa é que a empresa revise a lógica da mpengine.dll e do SpyNet para eliminar a exceção que permite o cache de arquivos grandes. Enquanto isso, usuários e administradores de sistemas ficam na dependência das próximas atualizações automáticas — e da observação do espaço livre em disco.

Fontes

Ars Technica — "Patch for Windows Defender 0-day could allow attackers to fill hard disk": https://arstechnica.com/security/2026/07/patch-for-windows-defender-0-day-could-allow-attackers-to-fill-hard-disk/