Es algo viejo, pero es tal y como dices.
Ese comando es heredado de ms-dos, y en teoría ya se debería de haber quitado de XP y similares. Así que es y no es un bug. No lo he probado, pero si lo que intentas es crear un virus que utilice sólo la nomenclatura ms-dos, puede que pase desapercibido por muchos antivirus a simple vista, pero cuando empiecen a llamar a las apis o al kernel, deberían (en teoría) saltar las alarmas...

En teoría todavía sigue vigente por la compatibilidad hacia atrás (que un sistema de 32 bits pueda utilizar aplicaciones de 16 bits), y en muchos casos (por ejemplo servidores que no utilicen aplicaciones de 16 bits) es una falla de seguridad.
Para no permitir este tipo de compatibilidad, lo debes hacer a través del registro, en esta clave:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\FileSystem\Hay un valor que se llama
NtfsDisable8dot3NameCreation y que tiene como valor
0 (Desactivado). Si lo pones a
1 lo activas ya no permitirías a un atacante acceder a rutas de 32 bits con 8 caracteres (la famosa
~).
No sé si esto resuelve tu duda...
