Pesquisadores da Corelight divulgaram uma vulnerabilidade no Windows Server que permite a invasores com acesso à rede derrubar sistemas afetados com uma única resposta de referência maliciosa do Sistema de Arquivos Distribuídos (DFS, sigla de Distributed File System).
Essa vulnerabilidade, catalogada como CVE-2026-70111 (sigla de Common Vulnerabilities and Exposures, sistema padronizado de identificação de vulnerabilidades), afeta as versões 2019, 2022 e 2025 do Windows Server. Segundo a divulgação da Corelight em 13 de outubro, a Microsoft corrigiu a falha nas atualizações de outubro de 2026. Vale destacar que não havia evidência de exploração ativa no momento da divulgação.
A vulnerabilidade está no mup.sys, um driver do kernel (núcleo do sistema operacional) do Windows que resolve caminhos do Sistema de Arquivos Distribuídos (DFS). Embora uma única resposta malformada possa acionar a falha, a exploração exige uma sequência inicial de coerção que força o sistema da vítima a se conectar a um servidor SMB (Server Message Block, protocolo de compartilhamento de arquivos e impressoras) controlado pelo atacante.
A Corelight observa que os atacantes não precisam de privilégios administrativos nem de acesso a um controlador de domínio legítimo para explorar a vulnerabilidade.
Falha de dia zero no Windows Server
A Corelight identificou o problema ao testar interfaces do Microsoft Remote Procedure Call (RPC, ou chamada de procedimento remoto) e APIs (interfaces de programação de aplicações) do DFS em busca de técnicas de coerção de autenticação.
Essas técnicas podem forçar sistemas Windows a iniciar conexões SMB de saída, o que pode expor a autenticação NTLM (NT LAN Manager, protocolo de autenticação da Microsoft) à captura ou ao repasse. Em vez dos resultados esperados, os pesquisadores encontraram uma tela azul inesperada durante os testes com respostas de referência DFS.
A investigação concentrou-se na interface de gerenciamento NetDFS, identificada pelo UUID (identificador único universal) 4fc742e0-4a10-11cf-8273-00aa004ae673. O caminho de execução dessa interface leva o mup.sys a emitir solicitações FSCTL_DFS_GET_REFERRALS a um controlador de domínio.
Os pesquisadores constataram que um atacante poderia influenciar para onde a resposta é enviada e se passar pelo servidor que responde. A falha foi reproduzida em todos os 11 testes no Windows Server 2022 e em todos os três testes no Windows Server 2019.
Durante a exploração, o atacante executa um servidor SMB falso e força o alvo a solicitar uma referência DFS. O servidor malicioso retorna um payload (carga útil) DFS_REFERRAL_V3 forjado, e o processamento dessa resposta causa uma falha no kernel da vítima, derrubando todo o servidor em poucos segundos.
O defeito subjacente envolve o processamento de referências NameList dentro da função PktExpandSpecialEntryFromReferral().
Quando o campo ReferralEntryFlags contém a flag 0x0002, a função usa o ExpandedNameOffset para localizar o nome de um controlador de domínio e chama wcslen() sobre o ponteiro resultante.
A Corelight indica que versões anteriores do Windows incluíam verificações para garantir que o nome expandido tivesse pelo menos um caractere; no entanto, as builds afetadas do servidor não tinham essa salvaguarda.
Essa omissão permite que um deslocamento apontando para uma string WCHAR (cadeia de caracteres de largura ampla) vazia chegue ao processamento inseguro, causando uma desreferência de ponteiro nulo no kernel. O Windows 10 mantém as verificações necessárias e, segundo os pesquisadores, por isso não é afetado.
A reinicialização automática pode limitar interrupções individuais, mas a exploração repetida pode manter um servidor indisponível. Ataques simultâneos contra controladores de domínio podem causar interrupções substanciais.
Administradores podem observar os IDs 41 e 6008 no log de eventos do sistema, que indicam um desligamento inesperado. No entanto, esses registros podem não fornecer um minidump útil para explicar a causa.
A Corelight recomenda priorizar as correções para servidores com DFS ativo e monitorar o tráfego SMB2 interno, em vez de depender somente da visibilidade no perímetro.
A orientação de detecção combina assinaturas para respostas malformadas com evidências de conexões no Zeek (ferramenta de monitoramento de rede), mostrando sessões silenciosas que terminam abruptamente e, depois, recebem reinicializações (resets).
Agrupamentos dos estados de conexão S1, RSTR ou RSTRH (estados de conexão do Zeek) envolvendo um único servidor podem indicar uma sequência de travamento e recuperação. No entanto, eles não confirmam exploração por si só.
A Corelight afirma que seu Feed inclui assinaturas de detecção. Os pesquisadores também alertam que o DFS é um dos caminhos conhecidos para o driver vulnerável, e que outros caminhos de acionamento podem existir além dos examinados nesta investigação.
