Microsoft corrige problema de segurança no clássico Age of Empires II

A Microsoft corrigiu uma vulnerabilidade de execução remota de código no Age of Empires II: Definitive Edition que poderia permitir o comprometimento do computador de um jogador por meio de conteúdo malicioso distribuído em uma partida ou convite especialmente preparado.

Identificada como CVE-2026-50663, a falha recebeu pontuação 8,8 no sistema CVSS e foi classificada como de gravidade importante pela Microsoft. A correção foi distribuída durante o Patch Tuesday de julho de 2026, atualização que solucionou um número recorde de vulnerabilidades em diferentes produtos da companhia.

De acordo com a Rapid7, um ataque poderia ser conduzido por meio de um cenário de jogo malicioso. Ao entrar em uma sala controlada pelo invasor e aceitar ou receber automaticamente conteúdo gerado pelo usuário, conhecido pela sigla UGC, a vítima poderia permitir que arquivos fossem gravados em locais indevidos de seu computador.

Essa capacidade de posicionar arquivos maliciosos no sistema poderia ser encadeada para alcançar a execução de código. Na prática, o invasor teria a possibilidade de instalar malware, acessar informações armazenadas na máquina ou assumir o controle do computador com os privilégios do usuário que executa o jogo.

O ataque exigiria alguma interação da vítima, como entrar em uma sala multiplayer, aceitar um convite ou abrir um cenário especialmente manipulado. Ainda assim, o vetor é relevante porque explora recursos normais de interação entre jogadores, reduzindo a aparência de risco da ação inicial.

Uma demonstração divulgada em vídeo na plataforma X mostrou como a vulnerabilidade poderia ser explorada. O material ilustrou um cenário no qual o jogador entra em uma sala preparada pelo invasor e recebe conteúdo malicioso capaz de iniciar a cadeia de comprometimento.

A vulnerabilidade atinge o Age of Empires II: Definitive Edition, versão remasterizada do clássico jogo de estratégia em tempo real lançado originalmente em 1999. A edição atual mantém recursos multiplayer, suporte a conteúdo personalizado e distribuição de cenários criados pela comunidade.

Essas funcionalidades ampliam a longevidade do jogo, mas também criam superfícies de ataque adicionais. Arquivos de mapas, modificações, cenários e outros conteúdos produzidos pelos próprios jogadores precisam ser processados pelo software e podem representar riscos quando não são devidamente validados.

Nesse caso, a falha demonstrava como uma função aparentemente restrita ao ambiente de entretenimento poderia ser usada para ultrapassar os limites do jogo e alcançar o sistema operacional. A execução remota de código está entre as categorias mais graves de vulnerabilidade porque permite que comandos ou programas controlados pelo invasor sejam executados na máquina afetada.

A Zero Day Initiative confirmou que a CVE-2026-50663 foi corrigida como uma vulnerabilidade de execução remota de código e destacou que a exploração dependia da abertura de um arquivo de cenário malicioso. Até o momento da divulgação, não havia evidências de exploração ativa em ataques reais.

Embora videogames não apareçam com frequência entre os produtos corrigidos durante o Patch Tuesday, jogadores constituem um alvo atraente para grupos de cibercrime. Contas de plataformas de jogos, credenciais de e-mail, carteiras digitais, itens virtuais e informações de pagamento podem ter valor financeiro para os invasores.

Campanhas direcionadas a esse público costumam usar falsas atualizações, versões modificadas de jogos, ferramentas de trapaça, mods, arquivos de mapas e convites para partidas como iscas. Quando uma vulnerabilidade permite que o ataque seja conduzido por um recurso legítimo do próprio jogo, a abordagem pode se tornar mais convincente.

Malwares distribuídos nesse contexto também podem procurar senhas salvas em navegadores, tokens de autenticação, cookies de sessão e credenciais de serviços digitais. Em computadores usados simultaneamente para jogos, estudos e trabalho, o comprometimento ainda pode alcançar contas corporativas ou documentos pessoais.

O caso reforça que programas de entretenimento devem integrar as mesmas rotinas de atualização aplicadas a navegadores, sistemas operacionais e ferramentas profissionais. Mesmo que o jogo não seja considerado um aplicativo crítico, ele executa código e processa arquivos externos, podendo servir como porta de entrada para o restante do sistema.

A atualização que solucionou a falha no Age of Empires II fez parte do Patch Tuesday de julho de 2026, quando a Microsoft corrigiu aproximadamente 570 vulnerabilidades em seus produtos. Entre elas estavam dezenas de falhas críticas e problemas capazes de permitir execução remota de código, elevação de privilégios e evasão de mecanismos de segurança.

O aumento no número de vulnerabilidades identificadas foi associado, em parte, ao uso crescente de inteligência artificial pela Microsoft e por pesquisadores externos para analisar códigos, encontrar comportamentos inseguros e validar possíveis falhas.

Um volume maior de correções não significa necessariamente que os produtos estejam se tornando menos seguros. O resultado também pode indicar que ferramentas automatizadas e sistemas baseados em IA estão ajudando as equipes a localizar problemas que antes permaneceriam desconhecidos por períodos mais longos.

A mesma evolução, no entanto, pode beneficiar invasores interessados em encontrar e explorar vulnerabilidades. Por isso, reduzir o intervalo entre a publicação de uma correção e sua instalação torna-se cada vez mais importante para usuários e organizações.

Não há indícios de que a CVE-2026-50663 tenha sido explorada em ataques reais. Mesmo assim, jogadores do Age of Empires II: Definitive Edition devem confirmar que o jogo está atualizado antes de entrar em partidas multiplayer ou abrir mapas e cenários enviados por terceiros.