Pesquisador do Google revela código que explora falha no Windows

Tavis Ormandy, pesquisador de segurança do Google, pediu “ajuda” para explorar uma falha do Windows em uma lista de discussão pública. A ajuda veio, e o pesquisador publicou no domingo um código que consegue explorar a vulnerabilidade. Com o código, qualquer usuário do Windows pode obter acesso administrativo, mesmo que utilizando uma conta de usuário sem essa permissão.

Pragas digitais podem usar a brecha para burlar as proteções do sistema e inutilizar o Controle de Contas de Usuário (UAC) ou o uso de uma conta limitada. Entretanto, quando as permissões do sistema são elevadas, o vírus possui mais opções para se instalar, além de poder desativar antivírus e outros softwares de segurança. Além do código disponibilizado por Ormandy, há outro disponível na web para tirar proveito da mesma falha.

Segundo o pesquisador, os detalhes técnicos da falha eram conhecidos desde março de 2013, mas nenhum código capaz de explorá-la havia sido desenvolvido.

A postura de Ormandy é chamada por especialistas de “revelação completa” (“full disclosure”, em inglês) e acontece quando detalhes de uma vulnerabilidade são divulgados antes que o desenvolvedor do software possa corrigir o problema.

O Google é a favor da “revelação responsável” (“responsible disclosure”, em inglês), na qual o desenvolvedor do software deve ser avisado de maneira particular antes que detalhes de uma brecha sejam divulgados. Além disso, a empresa adota uma política em que deve haver aviso prévio de pelo menos sete dias antes que detalhes sejam divulgados – prazo que seria insuficiente para a Microsoft, por exemplo, fornecer uma solução, uma vez que disponibiliza atualizações de segurança apenas uma vez por mês.

Entretanto, Ormandy publicou os detalhes da falha como pesquisador independente, sem usar o nome do Google. Ele é conhecido por revelar brechas sem aguardar o lançamento de uma atualização. Em 2010, Ormandy agiu da mesma forma com a Oracle↳Oracle22 conteúdosOracle lança Java 26 para aumentar produtividade de desenvolvedoresDev (Back & Front) · mar 2026Oracle oferece o primeiro cluster de computação em nuvem em escala ZettaDevSecOps · jan 2025Oracle abre inscrições para o ONE, programa gratuito de formação em tecnologia e inteligência artificialData · dez 2024Ver tudo em Data →, desenvolvedora do Java↳Java42 conteúdosNovidades do Java 26 (para desenvolvedores)Dev (Back & Front) · mar 2026Visual Studio Code para Java: o guia completo (dicas, configuração e extensões)Dev (Back & Front) · out 2025Quarkus: Modernizando a linguagem Java para a era da nuvemDev (Back & Front) · nov 2020Ver tudo em Dev (Back & Front) →, e também com a Microsoft, com outra falha no Windows.

Procurada pelo site Heise Security, a Microsoft informou que estava investigando o problema.

Com informações de G1