Patch Tuesday de outubro traz recorde de 1.408 falhas

Segurança

Microsoft libera o maior pacote de correções do ano para vulnerabilidades críticas no Windows e Office.

Leia também: CIOs enfrentam desafios de segurança com agentes de IA

A Microsoft lançou o Patch Tuesday de outubro com o maior pacote de atualizações de segurança do ano: são 1.408 vulnerabilidades corrigidas em Windows, Office, Exchange, SQL Server e ferramentas de desenvolvimento, 72 delas classificadas como críticas, em meio a ataques ativos contra Windows Shell e SharePoint.

Falha já explorada no Windows Shell acende alerta

Entre as mais de mil correções, uma vulnerabilidade se destaca pela gravidade imediata: a CVE-2026-96951, uma falha no Windows Shell que já é explorada por criminosos digitais e permite burlar o Mark of the Web, mecanismo que sinaliza arquivos potencialmente perigosos baixados da internet.

Ao driblar essa proteção, um arquivo malicioso pode ser aberto com menos barreiras, aumentando o risco de execução de código e comprometimento da máquina. Por isso, a própria equipe de preparação de atualizações da Microsoft reforça que “cada cliente precisa da correção para a falha explorada no Shell”, colocando os sistemas Windows na lista de aplicação imediata.

Além da falha no Shell, duas vulnerabilidades foram divulgadas publicamente antes do lançamento deste ciclo de patches, afetando o .NET Framework e a biblioteca MessagePack-CSharp, o que amplia o risco de exploração rápida em ambientes que demorem a atualizar.

Entenda o contexto

O volume de 1.408 CVEs em outubro supera com folga o recorde anterior, de 963 vulnerabilidades no mês passado, e consolida um período de “tempestade de patches” para administradores de TI. Só entre 9 de setembro e 12 de outubro, a Microsoft publicou 111 notificações na sua Security Update Guide para produtos próprios, sendo 90 revisões de itens já existentes e 21 novas entradas.

O pacote deste mês também vem acompanhado de marcos de ciclo de vida: com o lançamento de outubro, alguns produtos já cruzam datas-chave de suporte, e a Microsoft avisa que em novembro versões do .NET, do PowerShell e do Windows 11 vão deixar de receber atualizações, pressionando empresas a acelerar migrações.

Como o Patch Tuesday de outubro impacta a segurança do Windows?

O impacto é direto e imediato: o Windows concentra 1.122 das 1.408 vulnerabilidades corrigidas neste Patch Tuesday, sendo 42 críticas, e as atualizações para o sistema entram na categoria “instalar agora” para servidores e estações de trabalho.

Desse total para Windows, 617 falhas são de elevação de privilégio (quando um invasor obtém permissões mais altas dentro do sistema), 200 são de divulgação de informações e 179 permitem execução remota de código, o cenário mais temido por equipes de segurança. Entre as 42 críticas, 31 são de execução remota de código, nove de elevação de privilégio e duas de spoofing (falsificação de identidade).

Além da correção da CVE-2026-96951 no Shell, a orientação é priorizar servidores DHCP e hosts Hyper-V, que recebem ajustes considerados críticos para a infraestrutura de rede e virtualização. O pacote de testes recomendado pela Microsoft para Windows traz 496 entradas, 41 delas marcadas como de alto risco, com foco em impressão, digitalização e renderização de fontes, o que indica áreas mais sensíveis a problemas pós-atualização.

Na prática, empresas que dependem fortemente de ambientes Windows — como organizações de tecnologia, finanças, governo e educação — precisam combinar urgência na aplicação dos patches com testes cuidadosos, para não interromper serviços essenciais.

Qual foi a falha explorada ativamente identificada no Patch Tuesday de outubro?

A falha explorada ativamente neste ciclo é a CVE-2026-96951, uma vulnerabilidade no Windows Shell que permite burlar o Mark of the Web e abrir caminho para arquivos maliciosos serem executados com menos bloqueios.

Esse tipo de brecha é especialmente perigoso porque afeta uma camada básica de confiança do sistema: o Windows deixa de sinalizar corretamente que um conteúdo veio de fonte externa potencialmente insegura. Com isso, ataques via e-mail, links ou downloads ficam mais difíceis de detectar pelo usuário e por algumas ferramentas de proteção.

Por envolver exploração ativa já confirmada, a correção da CVE-2026-96951 é tratada como prioridade máxima, acima inclusive de outras falhas críticas ainda sem sinais de uso em ataques reais.

SharePoint volta ao radar com ataques a falha corrigida

Outro ponto sensível deste ciclo é o SharePoint Server. Em 25 de setembro, a Microsoft registrou ataques contra a CVE-2026-65660, vulnerabilidade já corrigida em agosto, mas ainda explorada em servidores que não receberam o patch.

A “surpresa” para muitos administradores é descobrir que uma falha antiga no SharePoint continua sendo alvo de ofensivas mesmo após a correção estar disponível, o que reforça a importância de não adiar atualizações em plataformas colaborativas usadas para armazenar documentos internos e dados sensíveis.

Embora a CVE-2026-65660 não faça parte das novas correções liberadas agora, o alerta recente levou a equipe de Readiness da Microsoft a incluir o Exchange e o restante do ecossistema de colaboração na lista de atualizações que devem ser priorizadas no Patch Tuesday de outubro.

Qual foi a surpresa relacionada ao SharePoint no Patch Tuesday de outubro?

A surpresa foi a confirmação de ataques em andamento contra a CVE-2026-65660 no SharePoint Server, uma vulnerabilidade já corrigida em agosto, mas ainda explorada em servidores desatualizados.

O registro desses ataques em pleno ciclo de outubro evidencia que, mesmo com patch disponível há semanas, uma parte relevante das instalações de SharePoint segue exposta. Para ambientes corporativos que usam a plataforma como repositório central de arquivos e fluxos de trabalho, isso significa risco real de acesso indevido a documentos internos, dados de clientes e informações estratégicas.

O recado para as equipes de TI é claro: não basta mirar apenas nos patches mais novos, é preciso garantir que correções anteriores — como a da CVE-2026-65660 — também estejam aplicadas.

Office, Exchange, SQL Server e ferramentas de desenvolvimento

O pacote de outubro atinge também toda a suíte de produtividade e os sistemas de backend da Microsoft, com diferentes níveis de urgência.

O Office recebe 180 correções, 26 delas críticas. Dessas, 25 afetam diretamente Excel, Outlook, PowerPoint, Visio e Word, o que coloca os aplicativos de uso diário de milhões de usuários na rota de prioridade máxima. Muitas dessas falhas são de execução remota de código, facilitando ataques via documentos maliciosos.

O Exchange soma uma vulnerabilidade crítica e entra na lista de “Patch Now”, sobretudo porque o servidor de e-mail segue sendo alvo frequente de grupos de ataque em todo o mundo.

Já o SQL Server aparece com 22 CVEs, nenhuma classificada como crítica neste mês. A recomendação, nesse caso, é seguir o cronograma padrão de atualização, dando espaço para testes mais extensos, especialmente em bases de dados que suportam aplicações de missão crítica.

No campo das ferramentas de desenvolvimento, a Microsoft corrige 66 vulnerabilidades, duas delas críticas. Entre as correções, há atualizações importantes para .NET, incluindo ajuste em QUIC, protocolo usado para conexões mais rápidas e seguras. Esses componentes também entram na fila de aplicação imediata, já que atingem pipelines de desenvolvimento e aplicações em produção.

Problema no Remote Desktop do Windows 11 exige mitigação

No meio do pacote, surge um efeito colateral incômodo para quem já instalou as atualizações recentes do Windows 11. Em 14 de outubro, a Microsoft admitiu um problema conhecido nos patches KB5127648 (para as versões 24H2, 25H2 e 26H2) e KB5127646 (26H1), que afeta usuários sem privilégios de administrador.

Após a instalação, esses usuários podem ficar impedidos de abrir conexões via Remote Desktop para dispositivos com a proteção de administrador ativada, recebendo o erro 0xC000000D. Segundo a própria empresa, “o problema começou com a atualização de pré-visualização de setembro”.

Como mitigação temporária, a recomendação é desativar a proteção de administrador por meio das políticas de segurança, o que contraria as bases padrão de segurança do Windows 11, que habilitam esse recurso por padrão. A Microsoft promete resolver o bug em uma atualização futura, mas, até lá, muitas empresas vão ter de escolher entre manter a política de segurança mais rígida ou garantir o acesso remoto dos usuários.

Fim de suporte pressiona migração e atualização

O Patch Tuesday de outubro também marca marcos de fim de suporte que mexem com o planejamento de médio prazo das equipes de TI. Com este ciclo, alguns produtos já ultrapassam datas pré-definidas de atualização, e outros chegam à reta final.

Em novembro, versões do .NET (como as linhas 8 e 9), do PowerShell (7.4 e 7.5) e edições específicas do Windows 11 Enterprise, Education e IoT Enterprise 23H2 vão encerrar o período de suporte. A própria Microsoft avisa que “a atualização de novembro será a última disponível para essas edições”.

Na prática, manter esses sistemas em produção sem migrar para versões suportadas significa operar sem correções de segurança futuras, o que, num cenário de 1.408 CVEs em apenas um mês, se torna um risco difícil de justificar.

Edge fica de fora, Adobe entra em cena

Pelo terceiro mês seguido, o Patch Tuesday não traz novas CVEs para o navegador Edge. Isso não quer dizer que o browser esteja parado: entre 9 de setembro e 12 de outubro, foram publicadas 414 vulnerabilidades relacionadas ao Edge na Security Update Guide, 409 herdadas do projeto Chromium e cinco específicas, mas todas liberadas fora do ciclo oficial e sem registro de exploração ativa.

Já a Adobe aparece com um pacote robusto próprio: são 11 boletins de segurança cobrindo 175 vulnerabilidades em produtos como ColdFusion, Experience Manager, Commerce, Photoshop, Bridge, FrameMaker, Dimension, a linha Substance 3D e o SDK de Content Credentials.

Nenhuma dessas falhas é classificada na prioridade máxima, e não há relatos de exploração ativa até o momento. Também não houve atualização de segurança para Acrobat ou Reader neste mês, o que reduz a urgência para a maioria dos usuários finais, mas exige atenção de empresas que dependem de soluções como ColdFusion e Experience Manager em ambiente de produção.

Gestão de risco em meio a um volume recorde

O volume inédito de 1.408 CVEs num único Patch Tuesday coloca pressão adicional sobre fornecedores, equipes de TI e times de segurança, que precisam equilibrar a corrida por correções com a estabilidade operacional.

A estratégia sugerida por especialistas e pela própria Microsoft passa por dividir o pacote em camadas: aplicar imediatamente as atualizações rotuladas como “Patch Now” — Windows, Office, Exchange e ferramentas de desenvolvimento críticas —, agendar com mais folga o SQL Server e, em paralelo, revisar se correções anteriores, como a do SharePoint Server, de fato chegaram a todos os servidores.

O cenário deste mês reforça uma tendência: vulnerabilidades deixam de ser exceção e passam a ser rotina de alta escala. Para as empresas, isso significa investir mais em automação de updates, inventário atualizado de ativos, testes rápidos e políticas de resposta a incidentes que assumam falhas como parte do dia a dia da infraestrutura.

Fonte: matéria original