Microsoft bate recorde com mais de 1.400 falhas corrigidas em um mês — e uma delas, já explorada, faz o Windows esquecer de avisar

Na terça-feira, 13 de outubro, a Microsoft publicou seu pacote mensal de correções de segurança — o chamado Patch Tuesday. O tamanho assustou até quem acompanha o assunto há anos: mais de 1.400 vulnerabilidades em um único mês. A contagem varia conforme quem soma: 1.411 para o BleepingComputer, 1.415 para a Zero Day Initiative (ZDI), programa de pesquisa de falhas da Trend Micro. Em qualquer conta, é o maior volume da história da empresa.

“Outro mês de correções, outro recorde”, resumiu a ZDI na sua análise, antes de admitir: “estou começando a achar que não gosto desse novo normal”.

Por que tanta falha de uma vez

A explicação mais citada é a inteligência artificial. Segundo o BleepingComputer, a Microsoft segue usando plataformas de IA para encontrar e corrigir vulnerabilidades nos próprios produtos — e, quanto mais a máquina procura, mais encontra.

A ZDI faz uma ressalva importante: a IA não cria as falhas, só encurta o tempo entre uma vulnerabilidade existir e alguém percebê-la. E a descoberta está crescendo mais rápido do que a exploração. Ou seja: o número de correções subiu muito; o número de ataques reais, não na mesma proporção. Quem tenta priorizar pela quantidade de CVEs perde tempo.

A única explorada: o aviso que não aparece

Das mais de 1.400, uma só estava sendo usada em ataques antes da correção, confirmada pela própria Microsoft: a CVE-2026-96951, no Shell do Windows, classificada como desvio de recurso de segurança.

Para entender o estrago, é preciso conhecer a “marca da internet” (Mark of the Web, ou MotW). Todo arquivo baixado de um site ou recebido por e-mail ganha do Windows uma etiqueta invisível dizendo “isto veio de fora”. É ela que faz o Office abrir documentos no Modo de Exibição Protegido e que dispara o aviso antes de executar um programa desconhecido. Quem consegue driblar a marca entrega o arquivo malicioso sem o alerta — e o usuário abre achando que está tudo bem.

“Dessa vez é o Shell, e não o SmartScreen, mas o resultado é o mesmo”, escreveu a ZDI, lembrando que atacantes usam técnicas para escapar da marca da internet pelo menos desde 2024. É o tipo de falha que encaixa perfeitamente em campanhas de anexo e download falso — como o instalador falso que trazia um driver assinado para desligar o antivírus.

As outras que merecem atenção

Duas falhas tinham sido divulgadas publicamente antes da correção, ainda sem ataque conhecido:

• CVE-2026-108398, no .NET Framework: permite contornar o WDAC, o controle de aplicativos do Windows que define quais programas podem rodar. Foi encontrada por James Forshaw, do Google Project Zero.
• CVE-2026-92707, uma falha de negação de serviço no componente MessagePack-CSharp.

E três correções pedem prioridade em servidores expostos, segundo a análise da ZDI:

• Exchange Server (CVE-2026-70571): tecnicamente uma falha que poderia se propagar sozinha entre servidores, embora a própria Microsoft diga que a exploração exige conhecimento profundo do ambiente.
• SharePoint (CVE-2026-102866): a única do SharePoint classificada como crítica (nota 8,1) e a única explorável sem login — o atacante precisa antes obter um token válido de um usuário.
• SQL Server (CVE-2026-65674): execução remota de código com nota 8,8; exige autenticação, mas vale conferir qualquer SQL Server ligado direto à internet.

Um mapa para priorizar

Junto com o pacote, a Microsoft testou algo novo: os grupos de risco (risk cohorts). Em vez de listar 1.400 itens soltos, ela organizou as falhas em 15 grupos de acordo com a pergunta que cada uma exige do time de TI. Os maiores: sistemas de arquivos, armazenamento e backup do Windows (136 falhas), documentos do Office e clientes de e-mail (135), gráficos, mídia e processamento de conteúdo (131) e o núcleo do Windows (109).

A empresa avisa que a iniciativa é experimental: os grupos não indicam quais falhas são mais perigosas nem substituem as orientações de cada correção. Mas ajudam a dividir o trabalho entre quem cuida de estação, de servidor de arquivos ou de e-mail.

Na prática, a ordem sensata para este mês é curta:

1. Estações de trabalho primeiro, por causa da falha do Shell, que já está em uso.
2. Servidores expostos à internet em seguida: Exchange, SharePoint e SQL Server.
3. O resto no ciclo normal, usando os grupos para distribuir a tarefa.

O próximo pacote está marcado para 10 de novembro. Se cada mês bater o recorde do anterior, a pergunta deixa de ser “quantas falhas a Microsoft corrigiu” e passa a ser “em quantos dias a sua empresa aplica as correções”. Esse segundo número é o único que depende de você.

Fontes

• Microsoft Security Response Center — boletim das atualizações de segurança de outubro de 2026 (exploração da CVE-2026-96951 antes da correção; próximo pacote em 10/11): microsoft.com/msrc
• BleepingComputer — “Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days” (13/10/2026): bleepingcomputer.com

• Zero Day Initiative — “The October 2026 Security Update Review” (13/10/2026): thezdi.com

• Foto de capa: sede da Microsoft na China, em Pequim — N509FZ, CC BY-SA 4.0, via Wikimedia Commons

• Segunda imagem: tela do Windows Update durante uma atualização — Kim Holger Kelting, CC BY 4.0, via Wikimedia Commons