A Microsoft liberou, na noite desta última terça-feira, a correção para uma brecha de segurança do Windows que ficou aberta por pelo menos 19 anos. A falha afeta todas as versões do sistema desde ao 95, e permite a execução remota de códigos por meio de uma página comprometida aberta no Internet Explorer, por exemplo. Mas mesmo que você não use o browser, é bom atualizar o sistema.

O problema foi descoberto por uma equipe de pesquisadores da IBM, que apresentou uma prova de conceito à Microsoft ainda em maio deste ano. A vulnerabilidade, de acordo com o texto publicado no blog dos especialistas, é de um tipo raro e fica em um código no qual o IE é baseado – o do VBScript, que foi introduzido na versão 3.0 do navegador e também é usado em outros programas.

Invasores conseguem usá-la inclusive para “driblar” o modo sandbox do IE 11 e até a ferramenta “anti-brecha” que a MS oferece de graça, como ressalta o executivo da IBM Robert Freeman. Ou seja, os ataques do gênero só podem ser bloqueados com uma atualização ou com a ajuda de soluções de monitoramento de atividades de rede, popularizadas graças ao avanço das chamadas ameaças persistentes avançadas (as APTs).

Explorar a brecha, no entanto, é um pouco complicado, como explica Freeman no texto – o que limita os possíveis estragos provocados pela falha quando comparada a um Heartbleed, por exemplo. Ainda assim, não dá para negar a gravidade dela: uma reportagem da BBC lembra que versões Server do Windows também são afetadas pela vulnerabilidade. Isso acaba incluindo na lista de potenciais vítimas “as plataformas que lidam com dados criptografados”, que podem acabar comprometidos.

Até a divulgação da descoberta do problema, a IBM diz não ter detectado nenhum ataque baseado nele. Mas a partir de agora, é natural que criminosos comecem a procurar por computadores que não foram atualizados e ainda sejam vítimas em potencial. Então, é bom fazer o update, que foi detalhado aqui e liberado para Windows Vista, 7 e 8 – nada de XP desta vez.