A Microsoft anunciou que o Windows PowerShell passou a exibir um novo aviso de segurança sempre que scripts utilizarem o cmdlet Invoke-WebRequest para baixar conteúdo da web. O objetivo é impedir que códigos potencialmente perigosos sejam executados automaticamente durante a análise de páginas HTML.
A mudança busca atenuar a vulnerabilidade CVE-2025-54100, classificada como de alta gravidade, que poderia permitir execução remota de código. Segundo a Microsoft, o impacto é maior em ambientes corporativos, onde o PowerShell é amplamente usado para automação. Fora desses cenários, o uso do PowerShell tende a ser bem menos comum.
O novo aviso foi implementado no Windows PowerShell 5.1, versão que acompanha o Windows 10 e Windows 11, trazendo o mesmo comportamento seguro já presente no PowerShell 7.
Como funciona o novo aviso
Ao executar o Invoke-WebRequest sem parâmetros adicionais, o PowerShell alertará que scripts incorporados em páginas baixadas podem ser executados durante o processamento. O usuário recebe duas opções:
-
Sim — Prossegue com a análise completa do HTML (modo antigo), aceitando o risco.
-
Não — Cancela a operação e sugere usar o parâmetro
-UseBasicParsing, que impede a execução automática de scripts embutidos.
Em comunicado, a Microsoft explicou:
“O Windows PowerShell 5.1 agora exibe uma confirmação de segurança ao usar o comando Invoke-WebRequest. O aviso recomenda o uso do parâmetro -UseBasicParsing para evitar a execução de qualquer script.”
Atualizações necessárias para evitar interrupções
Após instalar as atualizações KB5074204 (Windows 11 24H2 e 25H2), KB5074204 (Windows Server 2025) ou KB5074353 (Windows Server 2022), administradores de TI começarão a ver o novo prompt de confirmação.
Para evitar que processos automatizados fiquem parados aguardando resposta, a Microsoft recomenda que scripts corporativos sejam atualizados para incluir explicitamente o parâmetro seguro -UseBasicParsing.
Um detalhe importante: no PowerShell, o comando curl é um alias de Invoke-WebRequest. Isso significa que os novos avisos também aparecerão quando scripts chamarem curl.
A Microsoft reforça que a maioria dos scripts continuará funcionando normalmente:
“Scripts que apenas baixam conteúdo ou manipulam o corpo da resposta como texto ou dados não serão afetados e não exigem alterações.”
