Duas vulnerabilidades no Windows Remote Desktop Protocol podem permitir que invasores exponham dados sensíveis de sistemas afetados.
As falhas, rastreadas como CVE-2026-42908 e CVE-2026-45639, foram corrigidas pela Microsoft nas atualizações de segurança de 9 de junho de 2026. Os problemas foram classificados como importantes e receberam pontuação CVSS 7,5.
Ambos envolvem leitura fora dos limites de memória no componente RDP, condição que pode fazer o serviço retornar informações além do esperado durante o processamento de tráfego malicioso.
A exploração pode ser feita remotamente pela rede, sem autenticação e sem interação do usuário. Isso aumenta o risco para servidores e estações com RDP acessível pela internet ou disponível em redes internas pouco segmentadas.
Embora as falhas sejam de divulgação de informações, o impacto não deve ser subestimado. Dados vazados da memória podem ajudar invasores a enfraquecer proteções modernas e preparar ataques mais complexos, como execução remota de código ou escape de ambientes isolados.
As empresas devem aplicar os pacotes do Patch Tuesday de junho, restringir RDP por VPN ou bastion hosts, exigir autenticação forte e monitorar padrões incomuns de conexão. A exposição direta do RDP à internet continua sendo uma prática de alto risco para redes corporativas.
