Gerenciador de Kill-Bit para CVE-2026-21509 Office

Script PowerShell para verificar, aplicar e testar a proteção Kill-Bit para a vulnerabilidade de dia zero CVE-2026-21509 do Microsoft Office, que afeta Office 2016/2019/LTSC.

O que é a CVE-2026-21509?

Vulnerabilidade crítica de RCE no tratamento de OLE/COM do Microsoft Office (CVSS 9.8). Explorada ativamente pelo APT28 (Fancy Bear) por meio de arquivos RTF/DOC maliciosos que visam o objeto COM Shell.Explorer {EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}.

Afetados: Office 2016, 2019, LTSC 2021/2024, Microsoft 365 Apps (anteriores aos patches de 26 de janeiro de 2026)

Recursos

Pré-requisitos

• Windows 10/11 com Office 2016+
• PowerShell 5.1+ (integrado)
• Direitos de administrador (necessários para o registro)

Instalação

1. Baixe CVE-2026-21509.ps1
2. Clique com o botão direito → "Executar com PowerShell" (como Administrador)
3. Baseado em menu - nenhum parâmetro necessário

Uso

=== Gerenciamento de Kill-Bit para CVE-2026-21509 Office ===

  ░█▀▀░█░█░█▀▀░░░░░▀▀▄░▄▀▄░▀▀▄░▄▀▀░░░░░▀▀▄░▀█░░█▀▀░▄▀▄░▄▀▄
  ░█░░░▀▄▀░█▀▀░▄▄▄░▄▀░░█/█░▄▀░░█▀▄░▄▄▄░▄▀░░░█░░▀▀▄░█/█░░▀█
  ░▀▀▀░░▀░░▀▀▀░░░░░▀▀▀░░▀░░▀▀▀░░▀░░░░░░▀▀▀░▀▀▀░▀▀░░░▀░░▀▀░
  
  Nome: CVE-2026-21509.ps1
  ====================================================="

1. Verificar Status do Kill-Bit        [Recomendado primeiro]
2. Aplicar Proteção Kill-Bit           [Se ausente]
3. Testar com Arquivo COM Fictício     [Verificar proteção]
4. Remover Kill-Bit (Restaurar)        [Após o patch oficial]
5. Verificar Atualizações KB           [Status do patch]
0. Sair

Fluxo de Trabalho de Início Rápido

# 1. Verificar status
Opção 1 → "Kill-Bit AUSENTE" = Vulnerável!

# 2. Aplicar proteção  
Opção 2 → "PROTEGIDO! 2 entradas de registro corrigidas"

# 3. Verificar com teste
Opção 3 → Cria RTF de teste → Abrir no Word
✓ Kill-Bit funciona = "O objeto não pode ser ativado"
✗ Vulnerável = O objeto carrega

Resultados do Arquivo de Teste

Patches KB

Opção 5 mostra o status de instalação via Get-HotFix.

Locais no Registro

Office 64 bits:

HKLM\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B}
"Compatibility Flags" = dword:00000400

Office 32 bits:

HKLM\SOFTWARE\WOW6432Node\Microsoft\Office\16.0\...

Solução de Problemas

Notas de Segurança

• O Kill-Bit bloqueia APENAS este CLSID - outras funções do Office não são afetadas
• Patches oficiais definem/removem o Kill-Bit automaticamente
• O arquivo de teste é SEGURO - não contém código executável, apenas referência ao CLSID
• Phishing ainda é perigoso - mantenha o Modo de Exibição Protegido ativado

Após o Patch

1. ✅ Instale KB5002694/95 pelo Windows Update / Catálogo de Atualizações
2. ✅ Opção 4 → Remover Kill-Bit (opcional, o patch cuida disso)
3. ✅ Exclua o arquivo de teste de %TEMP%

Licença

Licença MIT - Gratuito para uso pessoal/comercial.

Aviso Legal

Não é software oficial da Microsoft. Use por sua conta e risco. Testado no Windows 10/11 com Office 2016-2024.

⭐ Dê uma estrela no GitHub se for útil!
🐛 Problemas? Abra uma issue

Referências:
CISA KEV | MSRC | BornCity Blog