A tool designed to protect systems can also become an entry point for an attack. That is what happened with CVE-2026-33825, known as BlueHammer, a high-severity vulnerability in Microsoft Defender is already being exploited in real-world attacks.

The flaw allows an authenticated user to locally escalate privileges due to insufficiently granular access controls. Once exploited, it can provide access to the Security Account Manager (SAM)database, which contains password hashes for local accounts, potentially allowing attackers to obtain SYSTEM privileges and take control of the device.

The vulnerability was disclosed in early April by the security researcher known as Nightmare Eclipse, who also published a proof-of-concept exploit. Microsoft addressed the flaw through its April 2026 security update. Just days later, Huntress researchers identified evidence that the vulnerability was already being exploited as a zero-day in real-world attacks.

A CISA adicionou a CVE-2026-33825 ao catálogo Known Exploited Vulnerabilities (KEV) em abril, sinalizando que existia exploração ativa e reforçando a prioridade da aplicação das correções. Mais recentemente, a agência atualizou o registo para indicar a utilização da vulnerabilidade em campanhas de ransomware.

O caso demonstra uma questão que vai além da aplicação de um patch: corrigir uma vulnerabilidade não significa necessariamente que uma organização não tenha sido comprometida enquanto esteve exposta.

Quando uma falha permite escalar privilégios, pode tornar-se parte de uma cadeia de ataque mais ampla. Um atacante pode começar com uma credencial comprometida ou acesso a um endpoint, explorar uma vulnerabilidade, aumentar privilégios e, posteriormente, procurar movimentar-se pela infraestrutura.

É por isso que a gestão de vulnerabilidades deve ser acompanhada por visibilidade e monitorização contínuas. Saber que uma vulnerabilidade existe é importante. Saber onde existe, se foi explorada e que atividade ocorreu durante o período de exposição é ainda mais importante.

A inclusão no catálogo KEV da CISA é precisamente um sinal de que a prioridade não deve ser determinada apenas pela classificação técnica de uma vulnerabilidade. A exposição do ativo, a existência de exploração conhecida e o impacto potencial no negócio também devem influenciar a resposta.

O ransomware raramente começa no momento em que os ficheiros são encriptados. Antes disso, o atacante pode já ter conseguido entrar, escalar privilégios, roubar credenciais, movimentar-se lateralmente e identificar os sistemas críticos.

Por isso, proteger uma infraestrutura exige mais do que manter as ferramentas de segurança atualizadas. É necessário combinar gestão de vulnerabilidades, proteção de endpoints, gestão de identidades, monitorização, deteção e resposta a incidentes.

O BlueHammer deixa assim uma mensagem clara: uma vulnerabilidade pode ser corrigida, mas o risco só é verdadeiramente reduzido quando a organização consegue perceber o que aconteceu antes, durante e depois da correção.