Microsoft critica exposição de falhas no Windows e é criticada de volta

Microsoft critica exposição de falhas no Windows e é criticada de volta Microsoft acusou pesquisador de divulgar falhas de segurança no Windows de forma irresponsável. Atrito expõe relação complicada da empresa com especialistas em segurança. Microsoft acusou pesquisador de divulgar falhas de segurança no Windows de forma irresponsável.

Atrito expõe relação complicada da empresa com especialistas em segurança. Em uma atitude inesperada, a Microsoft reclamou de um especialista em segurança que teria divulgado vulnerabilidades em ferramentas do Windows sem, antes, avisar a companhia dos problemas. Soa como algo compreensível.

Leia no AINotícia: Panorama da Tecnologia: IA, Eleições e Novidades em IA

Mas esse atrito também expõe a, muitas vezes, complicada relação entre a empresa e “caçadores de bugs”. De fato, o ritual padrão em circunstâncias do tipo consiste em avisar a organização responsável pelo software vulnerável, negociar um prazo para que correções sejam implementadas e somente então divulgar o problema. Dessa forma, a falha só se tornará conhecida publicamente quando houver solução para ela. Leia também: Jogos de hoje (30/05/26): onde assistir futebol ao vivo e horários das partidas

Mas, de acordo com a Microsoft, isso não ocorreu com vulnerabilidades recentes que ficaram conhecidas como RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma e MiniPlasma, e que envolvem ferramentas como Windows Defender (Segurança do Windows) e BitLocker: As vulnerabilidades conhecidas como RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma e MiniPlasma não foram divulgadas de forma responsável. Em resposta ao risco desnecessário criado por essas divulgações, nossas equipes de segurança têm trabalhado incansavelmente para entender o impacto, proteger nossos clientes e desenvolver atualizações de segurança.

Microsoft Security Response Center Os problemas em questão foram publicados vagamente em um blog por um pesquisador que se identifica apenas como Nightmare Eclipse. A parte mais grave, porém, é que detalhes técnicos sobre as falhas foram compartilhados em repositórios no GitHub e GitLab (já suspensos).

Sem entrar em detalhes, a Microsoft informou que continuará adotando medidas judiciais e, se necessário, acionando autoridades policiais, quando problemas como esses forem expostos de modos que a companhia considera irresponsáveis. Em seu blog, Nightmare Eclipse alega que tentou comunicar as falhas à Microsoft, mas que a companhia não só não lhe deu a devida atenção como bloqueou o seu acesso ao Microsoft Security Response Center, plataforma onde falhas podem ser reportadas. Olhando de fora, é difícil dizer quem está certo nessa história.

Independentemente disso, outros especialistas em segurança aproveitaram o assunto para expressar o quão difícil é tratar de segurança com a Microsoft. Um deles é Kevin Bueaumont, ex-funcionário da Microsoft que descobriu uma falha importante no Windows Recall, por exemplo. O especialista explica que não defende as ações de Nightmare Eclipse, mas foi crítico sobre a postura da empresa de classificar provas de bugs como “atividades criminosas”: A criação e distribuição de exploits de prova de conceito para zero-days agora é considerada “atividade criminosa”? Mais de tecnologia

Quem na CELA [departamento jurídico] aprovou esse texto? A Microsoft é a maior distribuidora de zero-days, via GitHub. Não seguir os processos inventados de “divulgação responsável” não é ilegal. Leia também: Aprender idiomas ainda faz sentido na era da IA?

Kevin Beaumont, especialista em segurança digital Temos um exemplo recente de como a relação da Microsoft com especialistas em segurança pode ser problemática. No começo do mês, um pesquisador descobriu que o Edge salva senhas na memória em forma de texto simples. Alertada, a Microsoft respondeu que esse é um comportamento esperado.

Pegou mal. Tanto que, dez dias depois, a companhia admitiu que carregar senhas como texto no Edge não é uma abordagem segura e tratou de resolver o problema. {{ excerpt | truncatewords: 35 }} {% endif %

}

Leia também no AINotícia

Leia também