Assim como o Windows 10 atingiu o fim de sua vida útil (EOL), abundam os problemas com o Windows 11, sendo o mais recente uma atualização que quebrou o host local para alguns desenvolvedores, impedindo-os de acessar aplicativos da web executados localmente em suas máquinas.
A atualização cumulativa de outubro de 2025, (KB5066835), abordou problemas de segurança nos sistemas operacionais (SOs) Windows, mas também parece ter bloqueado a capacidade do Windows de falar consigo mesmo.
Localhost permite que aplicativos e serviços se comuniquem internamente sem usar a Internet ou acesso à rede externa. Os desenvolvedores usam a função para desenvolver, testar e depurar sites e aplicativos localmente em uma máquina Windows antes de liberá-los ao público.
“Para quem desenvolve software, isso é enorme”, disse David Shipley, da Beauceron Security.
O problema foi amplamente relatado em fóruns de suporte da Microsoft, bem como em outros sites de desenvolvedores, como Stack Overflow e Stack Exchange. A Microsoft confirmou o bug; uma página atualizada de integridade da versão do Windows descreve o problema e suas atenuações sugeridas.
Impactando a forma como os desenvolvedores fazem seu trabalho
KB5066835 é uma atualização cumulativa de outubro de 2025 para as versões 24H2 e 25H2 do Windows 11. Ela foi precedida por uma atualização de visualização, KB5065789, lançada em 29 de setembro de 2025, ambas abordando problemas, incluindo problemas com visualização de impressão em navegadores baseados em Chromium, tempos limite de comando que afetam a auditoria no PowerShell Remoting e no Windows Remote Management (WinRM) e mensagens de erro persistentes na configuração do Windows Hello.
Mas os desenvolvedores também relataram alguns problemas inesperados, incluindo falhas de conexão e problemas de protocolo HTTP/2 que afetam várias ferramentas de desenvolvimento, como ASP.NET e Visual Studio.
Mitigação
Alguns desenvolvedores conseguiram contornar essas falhas significativas desinstalando o pacote KB5066835, reiniciando e pausando as atualizações do Windows para que não seja reinstalado automaticamente. Outros, no entanto, relataram em fóruns online que suas tentativas de desinstalar o KB5066835 não tiveram êxito e que, em vez disso, tiveram que remover o pacote KB5065789 de setembro anterior. Se nenhuma dessas táticas funcionasse, os usuários sugeriram abrir os recursos do Windows e desligar o Hyper-V, o IIS, o Windows Process Activation Service e o .NET Framework 3.5 e 4.8.
A Microsoft respondeu atribuindo o problema a uma “variedade de condições”, incluindo conectividade com a Internet e o “momento da instalação de atualizações recentes e reinicializações de dispositivos”, e diz que é possível que isso não seja observado em alguns ambientes.
A mitigação sugerida é por meio da reversão de problemas conhecidos para remover as atualizações ofensivas; isso será resolvido automaticamente para dispositivos domésticos e empresariais não gerenciados, disse, e pode ser implantado usando uma Política de Grupo especial nas empresas.
A empresa também sugeriu tentar as seguintes etapas:
- Abra “Windows Update” no aplicativo “Configurações do Windows”.
- Clique em “Verificar atualizações” e permita a instalação de quaisquer atualizações.
- Reinicie o dispositivo (mesmo que nenhuma atualização tenha sido instalada na etapa anterior).
“Estamos trabalhando para lançar uma resolução para esse problema em uma atualização futura do Windows”, disse a Microsoft. “Forneceremos uma atualização quando mais informações estiverem disponíveis.”
Perturbação e frustração
“Isso está afetando o desenvolvimento local e também os aplicativos de negócios”, escreveu um usuário em um fórum hospedado pela Microsoft. Eles relataram que quando a atualização for removida, “tudo funcionará novamente”.
A conexão de loopback localhost é um elemento “fundamental” do Windows no qual desenvolvedores e empresas confiam silenciosamente todos os dias, explicou Erik Avakian, consultor técnico do Info-Tech Research Group. “Localhost serve como uma espécie de espinha dorsal para quantos aplicativos modernos são criados e testados.”
Quando o localhost para de funcionar, ambientes inteiros de desenvolvimento de aplicativos podem ser afetados ou “até mesmo paralisados”, fazendo com que processos e serviços internos falhem e parem de se comunicar, ressaltou. Isso significa que os desenvolvedores não conseguem testar ou executar aplicativos da web localmente.
Esta questão é realmente sobre “negação de serviço”, onde ferramentas e processos dependentes de serviços de loopback internos quebram, observou ele. Os desenvolvedores não podem depurar localmente e os processos de teste automatizados podem falhar. Ao mesmo tempo, os departamentos de TI precisam solucionar problemas, responder a um fluxo de tickets de serviço, reverter patches e procurar soluções alternativas.
“Este bug é definitivamente perturbador o suficiente para causar atrasos, perda de produtividade e frustração entre as equipes”, disse Avakian. “Tudo isso equivale a dólares reais em tempo do usuário em tarefas e interrupções de processos de negócios.”
Controle de qualidade da Microsoft em dúvida: algo tão fundamental não deveria quebrar
Do ponto de vista do impacto económico, cada um dos desenvolvedores de software pode ter perdido meio dia, um dia ou mais devido a este problema, observou Shipley, da Beauceron. “Isso aumenta rapidamente”, disse ele.
Ele chegou ao ponto de dizer que, dependendo do número de desenvolvedores afetados em todo o mundo, esse bug poderia ter um impacto tão grande quanto a interrupção generalizada do CrowdStrike em julho de 2024, que interrompeu voos e deixou milhões de empresas temporariamente offline.
“Se as pessoas reverterem esta atualização, que inclui correções de segurança, para alvos de alto valor, como desenvolvedores, isso criará um risco enorme”, disse Shipley.
Fazer com que os desenvolvedores recuem da correção automática e adotem a velha abordagem de esperar algumas semanas antes de aplicar as correções é “muito mais perigoso” hoje, dada a velocidade com que o desenvolvimento de vulnerabilidades habilitado por IA opera agora (15 minutos ou menos), observou ele.
“Eu adoraria ver uma autópsia sobre como essa bagunça aconteceu e se há um papel aqui que o código ou teste de IA ruim desempenhou nela”, disse Shipley.
Avakian, da Info-Tech, concordou que os desenvolvedores estão sendo forçados a escolher entre duas opções ruins: “permanecer atualizados e seguros (mas improdutivos) versus permanecer funcionais e produtivos”.
Esse tipo de problema ressalta a importância do controle de qualidade e de testes completos realizados por fornecedores e vendedores terceirizados antes de lançar atualizações nos mercados comerciais, disse ele. Não fazer isso pode ter impactos posteriores significativos e “corroer a confiança” no processo de atualização, ao mesmo tempo que torna as equipes mais cautelosas em relação aos patches.
“Localhost é realmente uma das peças mais básicas da pilha de rede do Windows”, disse Avakian. “Algo tão fundamental não deveria passar despercebido ao testar versões de atualização.”
Ele destacou que a situação também é um grande lembrete para as equipes de TI prepararem primeiro as atualizações em ambientes de teste, testarem vários processos de negócios críticos em toda a empresa a cada iteração de atualização e criarem runbooks com planos de reversão e dependências mapeadas para processos de negócios.
“Quando essas interrupções são multiplicadas por dezenas ou centenas de máquinas de desenvolvimento, isso pode representar um alto custo em tempo, atrasos e coordenação das equipes de TI”, disse Avakian.
