A Microsoft corrigiu uma vulnerabilidade zero-day ativamente explorada como parte de seu ciclo mensal de atualizações de segurança ontem.
CVE-2025-62221 é um bug de elevação de privilégio (EoP) no Mini Driver de Filtro dos Arquivos de Nuvem do Windows, que permite que um usuário com baixo privilégio realize execução de código em nível de sistema por meio de uma falha de uso após liberação no modo kernel.
Embora não haja prova de conceito (PoC) confirmada disponível, é provável que os agentes de ameaça já tenham o conhecimento necessário para explorá-la, alertou o presidente da Action1, Mike Walters.
“O verdadeiro impacto dessa vulnerabilidade surge quando os atacantes a encadeiam com outras fraquezas. Após obter acesso de baixo privilégio por meio de phishing, um explorador de navegador uma aplicação [remote code execution] RCE, eles podem usar CVE-2025-62221 para escalar para o sistema e assumir o controle total do host”, explicou.
“Uma elevação em nível de kernel em um driver amplamente implantado também permite o escape sandbox ou do navegador, transformando execução limitada em comprometimento total do sistema operacional. Com privilégios do sistema, atacantes podem implantar componentes do kernel ou abusar de drivers assinados para burlar defesas e manter a persistência, e quando combinado com roubo de credenciais, isso pode rapidamente escalar para compromisso em todo o domínio.”
A Microsoft também lançou patches para dois zero-day, que foram divulgados publicamente, mas ainda não explorados no mercado real.
CVE-2025-54100 é uma vulnerabilidade RCE no PowerShell que afeta como a ferramenta Windows processa conteúdo web.
“Ele permite que um atacante não autenticado execute código arbitrário no contexto de segurança de um usuário que executa um comando PowerShell elaborado, como Invoke-WebRequest”, explicou Alex Vovk, cofundador da Action1.
“Dada a simplicidade do problema e o papel central do PowerShell nas ferramentas ofensivas, scripts PoC provavelmente serão simples para pesquisadores e atacantes, que podem criar corpos de resposta que acionem a lógica vulnerável do parser.”
O terceiro zero-day é o CVE-2025-64671, uma falha de RCE no GitHub Copilotfor Jetbrains.
“Por meio de um Cross Prompt Inject malicioso em arquivos não confiáveis ou servidores MCP, um atacante poderia executar comandos adicionais adicionando-os aos comandos permitidos na configuração de aprovação automática do terminal do usuário”, disse a Microsoft.
Em outro lugar deste mês, apenas três CVEs críticos foram corrigidos pela Microsoft, todos classificados como RCE.
Dois deles (CVE-2025-62554 e CVE-2025-62557) impactam o Microsoft Office, enquanto o terceiro (CVE-2025-62562) pode ser encontrado no Outlook.
Ao todo, havia 19 vulnerabilidades de RCE listadas no Patch Tuesday de dezembro e 28 falhas de EoP.
Um Dezembro Movimentado para Administradores de Sistemas
O final de ano está se mostrando movimentado para os administradores de sistemas, que já estão correndo para encontrar e corrigir o sistema React2Shell A falha é amplamente explorado em ataques.
A Ivanti também lançou patches como parte de seu ciclo mensal de atualização, incluindo uma correção para uma falha XSS armazenada (CVE-2025-10573) no Ivanti Endpoint Manager (EPM), que possui uma pontuação CVSS de 9,6.
“Um atacante com acesso não autenticado ao serviço web principal do EPM pode unir endpoints gerenciados falsos ao servidor EPM para envenenar o painel web do administrador com JavaScript malicioso”, explicou Douglas McKee, diretor de inteligência de vulnerabilidades do Rapid7.
“Quando um administrador anIvantiEPM visualiza uma das interfaces de dashboard envenenadas durante o uso normal, essa interação passiva do usuário acionará a execução do JavaScript do lado do cliente, resultando no invasor assumindo o controle da sessão do administrador.”