A Microsoft publicou em 10 de novembro de 2026 a correção de duas vulnerabilidades no BitLocker, o recurso de criptografia de disco do Windows. As duas permitem contornar a proteção e alcançar o conteúdo gravado, e ambas exigem que o atacante tenha o equipamento em mãos. Nenhuma delas havia sido divulgada publicamente nem explorada antes da correção.
A mais direta é rastreada como CVE-2026-119832, recebeu nota 5.9 e vem de um controle de acesso mal aplicado. Ela contorna a criptografia do dispositivo de armazenamento do sistema, que é o disco onde o Windows está instalado, e entrega ao atacante os dados que deveriam estar protegidos. A exploração exige acesso físico e uma conta de poucos privilégios, e dispensa qualquer ação da pessoa que usa a máquina.
A segunda, CVE-2026-97015, recebeu nota 6.8 e é um estouro de buffer na região de memória usada para alocação dinâmica. Ela também contorna o recurso de segurança por meio de um ataque físico, com a diferença de não exigir privilégio prévio nem interação do usuário. A complexidade de ataque é classificada como baixa, e a empresa considera a exploração menos provável.
O alcance das falhas cobre as edições corporativas e as de uso geral. Estão afetadas versões do Windows 10 nas linhas 1809, 21H2 e 22H2, várias entregas do Windows 11 e as edições Windows Server 2019, 2022 e 2025. As plataformas de processador atingidas variam conforme a versão, o que significa que a lista precisa ser conferida máquina a máquina.
A distinção importa para quem avalia risco. Uma falha que depende de acesso físico não é explorada à distância e não serve para um ataque em massa pela rede, mas vale exatamente para o cenário que o BitLocker existe para cobrir, que é o notebook perdido, o equipamento roubado e a máquina descartada sem apagamento seguro.
As atualizações foram distribuídas como KB5131096 para o Windows 10 nas linhas 21H2 e 22H2, KB5131087 para o Windows 11 23H2, KB5132059 para o Windows 11 26H1, KB5131085 para o Windows Server 2019 e KB5131090 para o Windows Server 2022. O pacote correspondente à CVE-2026-97015 não foi listado em separado na divulgação, e quem administra o parque precisa consultar o aviso da própria fabricante para aquele identificador.
Para as áreas de segurança que tratam criptografia de disco como controle de conformidade, as duas falhas atingem a premissa do controle, não o seu desempenho. Um equipamento com BitLocker ligado e sem as atualizações de novembro entrega o conteúdo a quem tiver posse dele, de modo que o inventário de notebooks e de servidores fora do datacenter é o lugar por onde a aplicação das correções deve começar.
