Contexto da controvérsia Nightmare Eclipse
A Microsoft esclareceu sua posição, reduzindo as ameaças legais percebidas e reafirmando seu compromisso com a divulgação coordenada de vulnerabilidades, após um significativo revés da comunidade de pesquisa de segurança. Em uma declaração cuidadosamente redigida lançada no final de maio de 2026, o Centro de Resposta de Segurança da Microsoft (MSRC) moveu-se para acalmar uma crise crescente sobre seu tratamento da comunidade de pesquisa de segurança, esclarecendo que não tem intenção de processar indivíduos que conduzem ou publicam sua pesquisa de segurança.
A declaração veio dias após o post do blog do MSRC da Microsoft em 28 de maio, que condenou um pesquisador conhecido como Nightmare Eclipse por divulgar seis zero-days do Windows sem coordenação, e foi amplamente interpretada como uma ameaça legal abrangente contra todos os pesquisadores que contornam os canais oficiais.
O pesquisador, que afirma que a Microsoft ignorou submissões anteriores de vulnerabilidades por canais oficiais e "o apunhalou nas costas", prometeu um acompanhamento "esmagador" em 14 de julho, mirando no Patch Tuesday de julho. A Unidade de Crimes Digitais da Microsoft desativou as contas do Nightmare Eclipse no GitHub, GitLab e no portal de pesquisadores do MSRC após a liberação pública de vários zero-days do Windows.
Vulnerabilidades zero-day expostas publicamente
A disputa centra-se no Nightmare Eclipse, também conhecido como Chaotic Eclipse, que lançou publicamente código de prova de conceito funcional para seis vulnerabilidades do Windows entre abril e meados de maio de 2026. As falhas, nomeadas BlueHammer (CVE-2026-33825), RedSun (CVE-2026-41091), UnDefend (CVE-2026-45498), YellowKey (CVE-2026-45585), GreenPlasma e MiniPlasma, visavam componentes centrais do Windows, incluindo Microsoft Defender e criptografia BitLocker.
Três dessas explorações — BlueHammer, RedSun e UnDefend — foram subsequentemente armadas em ataques do mundo real, e a CISA as adicionou ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV). A Microsoft inicialmente alertou que "traria casos contra atores e aqueles que permitem sua atividade criminosa", enquanto o MSRC também abordou a situação em um post no X.
Os especialistas em segurança imediatamente alertaram que essa linguagem poderia ter um efeito resfriador na comunidade de pesquisa mais ampla, desencorajando futuras divulgações responsáveis. Na sua declaração de esclarecimento, a Microsoft fez uma distinção nítida entre pesquisa de boa-fé e atividade maliciosa.
Impacto na confiança no processo de disclosure
O episódio intensificou o escrutínio da indústria sobre a Divulgação Coordenada de Vulnerabilidades (CVD), a prática padrão na qual os pesquisadores relatam falhas em privado aos fornecedores, tipicamente dentro de uma janela de embargo de 90 dias, antes de ir ao público. Críticos argumentam que a resposta inicial da Microsoft ameaçou usar estruturas legais contra pesquisadores cujos relatórios foram previamente ignorados, minando a confiança no ecossistema CVD.
O Google Project Zero mantém um prazo firme de 90 dias independentemente do status do patch, enquanto a ZDI opera em um cronograma de 120 dias. A Microsoft reafirmou que a CVD "permanece a base para proteger clientes e melhorar nossos produtos", prometendo aceitar submissões de vulnerabilidades de todos os pesquisadores através de seu portal público, independentemente de interações passadas.
Uma sinalização direta de que disputas do estilo Nightmare Eclipse não devem desencorajar outros a relatar de forma responsável. A empresa também reconheceu a escala e a complexidade crescente de sua carga de trabalho de divulgação, observando que processa um "alto volume" de relatórios de vulnerabilidades anualmente, uma figura que continua a subir à medida que a pesquisa de segurança assistida por IA cresce.
Compromisso com transparência e programas de recompensa
A Microsoft reconheceu que algumas interações passadas entre o MSRC e os pesquisadores "ficaram aquém" e prometeu um compromisso renovado com "transparência, comunicação clara e profissionalismo" em cada interação de divulgação. O programa de recompensas por bugs da empresa pagou mais de 60 milhões de dólares a pesquisadores desde 2013, em 18 programas que abrangem Azure, Windows, Microsoft Defender e sistemas de IA.
A declaração final da Microsoft enfatizou que a escalada legal ocorreria apenas "quando um indivíduo quebra a lei e se envolve em atividade maliciosa causando dano real aos nossos clientes", separando explicitamente a exploração criminosa da pesquisa legítima de vulnerabilidades e publicação.
O que os CISOs devem fazer imediatamente
Executivos de segurança devem monitorar de perto as atualizações de segurança da Microsoft e garantir que suas equipes estejam cientes das vulnerabilidades zero-day mencionadas, especialmente aquelas listadas no catálogo KEV da CISA. A revisão dos processos internos de reporte de vulnerabilidades e a garantia de que as equipes de segurança sigam os canais oficiais de divulgação coordenada são essenciais para evitar riscos legais e operacionais. Além disso, a manutenção de um relacionamento transparente com fornecedores de segurança e a participação em programas de bug bounty podem ajudar a mitigar riscos futuros.