A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) confirmou que grupos de ransomware estão explorando a vulnerabilidade de segurança CVE-2025-60710 no componente Windows Task Host. A agência havia incluído a vulnerabilidade em 13 de abril na lista de vulnerabilidades conhecidas por serem efetivamente exploradas, antes de atualizar novamente sua lista na sexta-feira para indicar explicitamente sua associação a ataques realizados por grupos de ransomware.
A vulnerabilidade afeta dispositivos com Windows 11 e Windows Server 2025 e decorre de uma falha no mecanismo de acompanhamento de links. A Microsoft corrigiu o problema nas atualizações de segurança lançadas em novembro de 2025. De acordo com a descrição da vulnerabilidade, um invasor local com permissões básicas de usuário pode explorá-la para elevar seus privilégios ao nível SYSTEM, obtendo controle total sobre o dispositivo não atualizado.
Qual é a função do Windows Task Host?
O Task Host é um componente essencial do Windows, pois permite executar em segundo plano processos baseados em arquivos DLL e também ajuda o sistema a encerrá-los corretamente durante o desligamento, reduzindo os riscos de corrupção de dados. Como a exploração da falha exige que o invasor esteja presente localmente com uma conta de privilégios limitados, ela não representa necessariamente o primeiro ponto de entrada na rede, mas pode fornecer uma etapa decisiva de escalada depois que o invasor obtém acesso a um dispositivo.
O que muda na prática?
A CISA não publicou detalhes sobre os ataques em andamento nem sobre os grupos que exploraram a CVE-2025-60710, e a Microsoft também não havia atualizado seu comunicado de segurança até a publicação do material para confirmar a exploração em ataques reais. Ainda assim, a inclusão da vulnerabilidade na lista de Known Exploited Vulnerabilities, seguida da indicação de seu uso por grupos de ransomware, eleva a prioridade da aplicação de atualizações nas organizações que ainda utilizam versões não corrigidas.
A Microsoft afirmou que a vulnerabilidade foi corrigida na atualização de novembro de 2025 e que os clientes que instalaram a atualização estão protegidos e não precisam tomar nenhuma medida adicional. Já a CISA recomendou que as organizações implementem as medidas de correção de acordo com as instruções da empresa e sigam as orientações da diretiva operacional obrigatória BOD 22-01 para serviços em nuvem, ou interrompam o uso do produto caso não seja possível fornecer medidas de mitigação adequadas.
Contexto mais amplo da exploração de produtos da Microsoft
O alerta chega uma semana depois de a CISA anunciar que grupos de ransomware começaram a explorar uma vulnerabilidade de execução remota de código no Microsoft SharePoint, identificada como CVE-2026-45659, após a confirmação de sua exploração efetiva no início de julho. Desde novembro de 2021, a agência adicionou à sua lista 383 vulnerabilidades efetivamente exploradas em produtos da Microsoft, das quais 112 também foram usadas em ataques de ransomware.
Isso significa que a correção da CVE-2025-60710 não deve ser entendida como uma medida isolada do programa de gerenciamento de vulnerabilidades. A prioridade prática é verificar a instalação da atualização de novembro de 2025 nos dispositivos com Windows 11 e Windows Server 2025 e, em seguida, revisar a existência de indicadores de comprometimento ou de contas locais inesperadas nos sistemas que permaneceram sem atualização. O material não forneceu detalhes adicionais sobre os indicadores de comprometimento ou os métodos de ataque utilizados.