CVE-2026-96951
Vulnerabilidade de injeção de comando do Microsoft Windows
O Microsoft Windows Shell contém uma vulnerabilidade de injeção de comando que permite que um atacante não autorizado contorne uma funcionalidade de segurança por meio de uma rede.
Traduzido automaticamente do inglês.
Prazo CISA: 16 de out. de 2026
- Microsoft Windows
- Alta
- CVSS 8.8
- EPSS 1,51%
- Versão corrigida informada
O que fazer
Versão corrigida informada
- Ação exigida
- Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable.
- Prazo da CISA para agências federais dos EUA
- 16 de out. de 2026
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Microsoft Outlook.com | de 1.0.0 até antes de 20260925.100 | 20260925.100 |
| Microsoft Windows 10 Version 1607 (32-bit Systems, x64-based Systems) | de 10.0.14393.0 até antes de 10.0.14393.9612 | 10.0.14393.9612 |
| Microsoft Windows 10 Version 1809 (32-bit Systems, x64-based Systems) | de 10.0.17763.0 até antes de 10.0.17763.9376 | 10.0.17763.9376 |
| Microsoft Windows 10 Version 21H2 (32-bit Systems, ARM64-based Systems, x64-based Systems) | de 10.0.19044.0 até antes de 10.0.19044.7807 | 10.0.19044.7807 |
| Microsoft Windows 10 Version 22H2 (32-bit Systems, ARM64-based Systems, x64-based Systems) | de 10.0.19045.0 até antes de 10.0.19045.7807 | 10.0.19045.7807 |
| Microsoft Windows 11 version 23H2 (ARM64-based Systems) | de 10.0.22631.0 até antes de 10.0.22631.7652 | 10.0.22631.7652 |
| Microsoft Windows 11 Version 23H2 (x64-based Systems) | de 10.0.22631.0 até antes de 10.0.22631.7652 | 10.0.22631.7652 |
| Microsoft Windows 11 Version 24H2 (ARM64-based Systems, x64-based Systems) | de 10.0.26100.0 até antes de 10.0.26100.9711 | 10.0.26100.9711 |
| Microsoft Windows 11 Version 25H2 (ARM64-based Systems, x64-based Systems) | de 10.0.26200.0 até antes de 10.0.26200.9711 | 10.0.26200.9711 |
| Microsoft Windows 11 version 26H1 (ARM64-based Systems, x64-based Systems) | de 10.0.28000.0 até antes de 10.0.28000.3231 | 10.0.28000.3231 |
| Microsoft Windows 11 Version 26H2 (ARM64-based Systems, x64-based Systems) | de 10.0.26300.0 até antes de 10.0.26300.9711 | 10.0.26300.9711 |
| Microsoft Windows Server 2012 R2 (x64-based Systems) | de 6.3.9600.0 até antes de 6.3.9600.23470 | 6.3.9600.23470 |
| Microsoft Windows Server 2012 R2 (Server Core installation) (x64-based Systems) | de 6.3.9600.0 até antes de 6.3.9600.23470 | 6.3.9600.23470 |
| Microsoft Windows Server 2016 (x64-based Systems) | de 10.0.14393.0 até antes de 10.0.14393.9612 | 10.0.14393.9612 |
| Microsoft Windows Server 2016 (Server Core installation) (x64-based Systems) | de 10.0.14393.0 até antes de 10.0.14393.9612 | 10.0.14393.9612 |
| Microsoft Windows Server 2019 (x64-based Systems) | de 10.0.17763.0 até antes de 10.0.17763.9376 | 10.0.17763.9376 |
| Microsoft Windows Server 2019 (Server Core installation) (x64-based Systems) | de 10.0.17763.0 até antes de 10.0.17763.9376 | 10.0.17763.9376 |
| Microsoft Windows Server 2022 (x64-based Systems) | de 10.0.20348.0 até antes de 10.0.20348.5761 | 10.0.20348.5761 |
| Microsoft Windows Server 2025 (x64-based Systems) | de 10.0.26100.0 até antes de 10.0.26100.33650 | 10.0.26100.33650 |
| Microsoft Windows Server 2025 (Server Core installation) (x64-based Systems) | de 10.0.26100.0 até antes de 10.0.26100.33650 | 10.0.26100.33650 |
Alertas e correções
- Alerta do fabricante msrc.microsoft.com
Notas e sinais
- Exploração
- Explorada ativamente
- Gravidade
- Alta, CVSS 8.8 (v3.1, pontuado por microsoft)
- EPSS
- 1,51% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 23 de out. de 2026)
- Pontos de decisão SSVC da CISA
- Exploração: ativa. Automatizável: não. Impacto técnico: total. Em 8 de out. de 2026.
- Fraqueza
- CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection')
- Fabricante
- Microsoft, Windows
Linha do tempo
- Incluída no catálogo de vulnerabilidades exploradas da CISA: exploração ativa confirmada. Agências federais dos EUA devem corrigir até 2026-10-16.