Um dia zero (zero-day) é uma falha de software que os atacantes já estão explorando antes que os fabricantes do software tenham lançado uma correção. O nome vem da posição de quem se defende: quando o ataque começa, o fabricante teve zero dias para proteger seus clientes. Agosto de 2026 foi um lembrete claro de como esses ataques acontecem, com uma falha do Windows usada por um grupo apoiado por um Estado e um servidor de gerenciamento de impressão sequestrado por atacantes não autenticados no mesmo mês.
Este artigo explica o que aconteceu, quem foi afetado e as medidas práticas que reduzem sua exposição ao próximo dia zero, aquele que ninguém consegue corrigir com antecedência.
O que aconteceu em agosto
Windows: CVE-2026-68820, usada pelo grupo Lazarus
Em 11 de agosto, a atualização mensal de segurança da Microsoft corrigiu cerca de 400 vulnerabilidades. Uma delas, a CVE-2026-68820, já estava sendo explorada. Trata-se de uma falha do tipo use-after-free no afd.sys, o driver do Windows por trás da pilha de rede WinSock. Um atacante que já tenha um ponto de apoio em uma máquina, mesmo com uma conta de poucos privilégios, pode usá-la para obter controle total como SYSTEM.
Pesquisadores da Check Point, que comunicaram a falha, associaram seu uso ao Lazarus, o grupo patrocinado pelo Estado norte-coreano. O Lazarus a usou para instalar uma nova versão do FudModule, seu rootkit em nível de kernel, projetado para desativar as ferramentas de segurança a partir do núcleo do sistema operacional. A agência americana de cibersegurança e segurança de infraestrutura (CISA) incluiu a falha em seu catálogo de vulnerabilidades sabidamente exploradas no mesmo dia e deu às agências federais dos EUA até 25 de agosto para aplicar a correção.
A mesma atualização corrigiu outras duas falhas cujos detalhes haviam sido publicados antes de existir uma correção: a CVE-2026-62832, no serviço de perfis de usuário do Windows, que pode permitir a um usuário local obter direitos de administrador, e a CVE-2026-72971, em um driver de filtro de contêineres do Windows. Nenhuma das duas teve exploração confirmada, mas detalhes públicos encurtam o tempo até que os atacantes comecem a usá-las.
PaperCut: tomada de servidores de impressão sem autenticação
Em 27 de agosto, a PaperCut alertou que atacantes estavam explorando uma falha até então desconhecida no PaperCut NG e MF, software de gerenciamento de impressão muito usado em escolas, universidades, prefeituras e empresas. A vulnerabilidade, depois catalogada como CVE-2026-81578 e CVE-2026-82078, permitia que um atacante sem login alterasse a configuração do servidor e depois executasse seu próprio código nele.
A empresa de segurança Huntress confirmou a exploração em ambientes de dois clientes. Em um deles, toda a invasão durou menos de dois minutos: o atacante executou comandos de reconhecimento para mapear o servidor, deixou uma pequena carga em Java, coletou o que encontrou e depois apagou os próprios arquivos e o log da aplicação para encobrir seus rastros. A Huntress também observou que cerca de 47% das aproximadamente 2.500 instalações do PaperCut que monitora rodavam a versão 23 ou anteriores, para as quais inicialmente não havia correção.
A PaperCut lançou imediatamente versões emergenciais para as versões 25 e 26 e estendeu as correções à versão 24 no dia seguinte.
Por que os dias zero importam para todas as organizações
É tentador achar que os dias zero só dizem respeito a governos e grandes empresas. Agosto mostrou o contrário:
- Os alvos eram softwares do dia a dia. Windows e um servidor de impressão estão em quase todos os escritórios. Os atacantes vão aonde está a base instalada.
- Interfaces de administração expostas são a porta da frente. Os ataques ao PaperCut só funcionaram contra servidores cuja interface web podia ser acessada pela internet. Muitas organizações não percebem quantos painéis de administração deixam expostos.
- A escalada de privilégios transforma uma pequena invasão em uma grande. A falha do Windows precisa de um ponto de apoio prévio, que normalmente vem de um e-mail de phishing ou de uma senha roubada. Uma vez dentro, o dia zero transforma uma conta limitada em controle total.
- Os atacantes apagam os rastros. Com os logs apagados, sem um monitoramento independente a vítima pode nunca saber o que foi levado.
Como se proteger antes do próximo
Por definição, não é possível corrigir um dia zero antes que a correção exista. O que você pode fazer é reduzir as portas de entrada, tornar um ataque bem-sucedido menos prejudicial e encurtar o tempo entre o surgimento de uma correção e sua instalação.
1. Aplique as correções assim que surgirem
A maior parte dos danos reais acontece nos dias e semanas seguintes ao lançamento de uma correção, quando os atacantes fazem a engenharia reversa do patch. Ative as atualizações automáticas do Windows, dos navegadores e dos celulares. Para servidores e aplicações corporativas, defina uma meta: correções críticas em sistemas expostos à internet em até 48 horas, todo o resto em até 14 dias. Assine os alertas de segurança dos seus principais fornecedores e a lista de vulnerabilidades sabidamente exploradas da CISA.
2. Tire as interfaces de administração da internet
Servidores de impressão, ferramentas de acesso remoto, firewalls, roteadores, câmeras de segurança e painéis de controle de sites não devem estar acessíveis a qualquer pessoa na internet. Coloque-os atrás de uma VPN ou restrinja-os a endereços IP conhecidos. Só essa medida teria bloqueado totalmente os ataques ao PaperCut.
3. Saiba o que você tem instalado
Mantenha uma lista atualizada dos seus sistemas e versões de software, incluindo aqueles em que ninguém pensa, como gerenciamento de impressão, sistemas prediais e servidores antigos. Não dá para corrigir o que você não sabe que tem.
4. Retire os direitos de administrador local
Contas de uso diário não devem ser de administrador. Somado à autenticação multifator no e-mail e no acesso remoto, isso torna muito mais difícil obter o ponto de apoio inicial do qual dependem os dias zero de escalada de privilégios.
5. Detecte, não apenas previna
Use detecção e resposta em endpoints (EDR) em notebooks e servidores e envie os logs para um sistema separado que o atacante não consiga apagar facilmente. Fique atento aos sinais de alerta vistos em agosto: software de servidor abrindo interpretadores de comandos, arquivos inesperados aparecendo em pastas de aplicações e logs que somem de repente.
6. Prepare-se para o dia ruim
Mantenha backups off-line ou imutáveis e teste se consegue restaurá-los. Deixe por escrito para quem vai ligar e como vai isolar os sistemas, antes de precisar. Um plano de incidentes curto e ensaiado vale mais do que um longo e nunca testado.
Se você acha que foi afetado
Se você usa o PaperCut NG ou MF e a interface web dele podia ser acessada pela internet em agosto, não se limite a atualizar e seguir em frente. Preserve primeiro os logs e a configuração do servidor e depois procure arquivos .class inesperados na pasta lib do servidor e arquivos de log ausentes ou truncados. Atualizar ou reiniciar pode destruir provas de que você vai precisar para entender o que aconteceu.
No Windows, confirme que as atualizações de agosto estão instaladas em todas as máquinas, não só na maioria. Basta um servidor sem correção.
Nossa equipe de resposta a incidentes pode ajudar você a procurar sinais de comprometimento, preservar as provas corretamente e fechar as brechas. Fale conosco ou ligue para +44 7520 644325 a qualquer hora.