O que dizem os advisories

ZDI-26-543 — Microsoft Windows ICC File Parsing Out-Of-Bounds Write Remote Code Execution Vulnerability

A ZDI atribui a falha à validação insuficiente de dados fornecidos pelo usuário durante o parsing de perfis de cores ICC em Mscms.dll, o que permite uma escrita além do final de um buffer alocado. O advisory afirma que é necessária interação do usuário e que um atacante pode explorar o problema para executar código arbitrário no contexto do processo atual.

Microsoft — Windows Imaging Component Remote Code Execution Vulnerability:

Estouro de buffer baseado em heap no Windows Imaging Component permite que um atacante não autenticado execute código localmente.

Os dois registros rotulam o componente de forma diferente

Vale notar para quem estiver fazendo referência cruzada: a ZDI nomeia Mscms.dll (a biblioteca de gerenciamento de cores do Windows, que faz o parsing de perfis ICC), enquanto a Microsoft registra o CVE na categoria Windows Imaging Component. Ambas as descrições se referem ao mesmo CVE.

A diferença é de ponto de vista, não de contradição. O guia de atualizações da Microsoft categoriza pela superfície de produto que ela distribui e corrige; a ZDI nomeia a biblioteca que sua análise cobriu. O Windows Imaging Component é o pipeline de imagens que decodifica arquivos de imagem, e imagens normalmente carregam perfis de cores ICC embutidos que são repassados ao gerenciamento de cores — portanto, "parsing de arquivos ICC" e "Windows Imaging Component" descrevem duas pontas do mesmo caminho.

Se você estiver comparando este CVE com um inventário interno, pesquise por ambos os nomes.

Características do ataque

Lido a partir do vetor CVSS AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H:

A combinação AV:L + UI:R é o formato clássico de parsing de arquivos: o arquivo chega por qualquer meio (download, compartilhamento, anexo de e-mail, embutido em um documento), e a vulnerabilidade é acionada quando ele é processado localmente. "Local" aqui descreve onde o parsing acontece, não que o atacante precise de acesso prévio.

O vetor temporal E:U/RL:O/RC:C indica: código de exploração não comprovado, uma correção oficial está disponível e o relato está confirmado.

Produtos afetados e correções

A Microsoft lista 30 entradas de produtos afetados; a análise do NVD (vulnStatus: Analyzed) as resolve para 24 correspondências CPE que trazem o número de build corrigido para cada ramo. Combinando ambos — você é afetado se o seu build estiver abaixo do número na coluna Corrigido no build:

Instalações Server Core de cada SKU de servidor são afetadas e recebem o mesmo KB.

Verificando seu próprio build

ou, para o build completo com UBR:

Compare com a tabela. Os números de build vêm dos dados CPE do NVD; quando os dois divergirem, o KB instalado é a verificação definitiva — o Server 2025, em particular, tem um UBR excepcionalmente alto no registro do NVD, então verifique pelo KB em vez do build nesse SKU.

A faixa afetada que a Microsoft lista para esta atualização vai do Windows Server 2012 ao Windows 11 26H1. O Server 2012 e o Server 2012 R2 estão além do fim do suporte estendido e recebem esta correção por meio dos Extended Security Updates.

Mitigação: instale a atualização para o seu ramo. O advisory do fornecedor não documenta nenhuma solução alternativa nem mitigação baseada em configuração.

Linha do tempo

70 dias desde a notificação ao fornecedor até a divulgação pública coordenada, bem dentro da janela de 120 dias da ZDI. Nenhuma divulgação pública antes do patch e nenhuma exploração observada.

Referências

• ZDI-26-543
• MSRC — CVE-2026-54984
• NVD — CVE-2026-54984
• CVE.org record
• CWE-122: Heap-based Buffer Overflow

Crédito

Kağan Çapar — GitHub · Exploit-DB · LinkedIn · X

Creditado em ZDI-26-543 e reconhecido pela Microsoft pelo CVE-2026-54984.

Turco: tr/CVE-2026-54984-TR.md