A falha em causa afeta diretamente o ficheiro cldflt.sys, um controlador de kernel (driver) do Windows que desempenha um papel central na sincronização de ficheiros do serviço na nuvem OneDrive. Identificada em setembro de 2020 pelo especialista em segurança James Forshaw, a vulnerabilidade foi catalogada na altura sob o registo CVE-2020-17103, recebendo uma classificação de gravidade de 7,8 em 10. Para surpresa da comunidade técnica, o código de prova de conceito (PoC) original desenvolvido pela Google há mais de meia década continua a funcionar na perfeição sem exigir qualquer tipo de alteração.
Batizada pelo hacker com o nome de "MiniPlasma", a ferramenta agora disponibilizada tira partido desta vulnerabilidade adormecida para abrir uma linha de comandos com privilégios de "SYSTEM", o nível mais elevado de controlo e execução dentro do ecossistema Windows. Isto significa que um atacante que possua apenas um acesso local básico e limitado ao computador consegue elevar instantaneamente as suas permissões, assumindo o controlo absoluto sobre a máquina para instalar malware, desativar defesas corporativas ou extrair dados confidenciais de outros utilizadores do sistema.
No plano estritamente técnico, o problema reside numa função do controlador de filtros de nuvem que permite a escrita direta no Registo do Windows sem validar as devidas verificações de segurança. O exploit tira partido de uma falha de concorrência (race condition) para enganar o sistema operativo no momento exato da requisição, forçando uma mudança temporária para a identidade nativa ANONYMOUS LOGON. Como o Windows não consegue determinar com precisão a autoria do utilizador que efetua o pedido, reverte automaticamente a escrita para uma secção padrão partilhada ao nível do sistema, validando a operação maliciosa.
Especialistas independentes de cibersegurança, incluindo o prestigiado analista Will Dormann, já confirmaram publicamente a eficácia deste exploit em ambientes de produção reais executando o Windows 11 e o Windows Server 2025, atualizados com os pacotes de maio de 2026 (ramo 26H1). Esta revelação faz parte de uma campanha contínua levada a cabo pelo hacker apelidado de "Nightmare-Eclipse", que desde abril de 2026 tem lançado sucessivos zero-days - incluindo desvios à encriptação do BitLocker e falhas no Windows Defender - justificando as suas ações como uma vingança pessoal contra a Microsoft.
