Windows, Zoom e Adobe: três falhas críticas em softwares que você usa toda semana

Toda terça-feira do mês, a Microsoft libera um pacote de correções de segurança — o chamado Patch Tuesday. É o momento em que gigantes de software fecham as portas que descobriram (ou que descobriram para eles) no mês anterior. E o mês de agosto de 2026 foi particularmente barulhento: em poucos dias, três programas que provavelmente estão rodando na sua empresa agora ganharam correções para falhas críticas — algumas com a nota máxima de perigo. É um retrato perfeito de por que “manter atualizado” deixou de ser conselho e virou emergência.

Vamos aos três casos, traduzidos, e à lição que eles gritam juntos.

1. Windows: o próprio antivírus virou a porta de entrada

A mais irônica das três. Uma falha batizada de ShieldBreak foi encontrada no Microsoft Defender — o antivírus que já vem no Windows —, e ela permite que qualquer usuário comum de um computador assuma o controle total da máquina (o nível “SYSTEM”, o mais alto que existe), no Windows 10, 11 e Server. Ou seja: a ferramenta que deveria proteger tornou-se o caminho para dominar o sistema.

Pior: o pesquisador que a divulgou (o “Nightmare Eclipse”) afirma que ela contorna uma correção anterior — uma falha de julho (CVE-2026-50656) que a Microsoft teria consertado mal. E o código que demonstra o ataque foi publicado no GitHub, ou seja, está à disposição de qualquer criminoso. A Microsoft já lançou o patch — mas ele só protege quem o aplicar.

2. Zoom: entrar numa reunião podia entregar o seu computador

A segunda mostra que o perigo não está só nos servidores — está na ferramenta de videochamada que virou o escritório de milhões de empresas. Uma falha apelidada de Zoomsday afetava o Zoom em todos os sistemas (Windows, Mac, Linux, Android, iPhone) e permitia a um participante mal-intencionado assumir o controle dos dispositivos dos outros participantes da mesma chamada — sem a vítima clicar em nada. Bastava estar na reunião.

A brecha se escondia no recurso de anotações (aquele de desenhar na tela compartilhada) e — detalhe da nossa época — foi descoberta com ajuda de inteligência artificial, o mesmo fenômeno da IA que caça falhas que já cobrimos. O Zoom corrigiu antes de a falha ser tornada pública.

3. Adobe ColdFusion e Commerce: nota 10 e já sendo explorada

A terceira mira quem tem site ou sistema corporativo. A Adobe corrigiu três falhas com a pontuação máxima de perigo (CVSS 10.0) no ColdFusion (plataforma que roda milhares de sistemas corporativos) e no Campaign Classic. As falhas permitiam a um invasor executar comandos no servidor — controle profundo, pela internet.

E há um agravante que muda a urgência: numa falha relacionada do Adobe Commerce/Magento (a plataforma de muitas lojas online, CVE-2026-71362), a empresa de segurança Sansec já encontrou sinais de que criminosos estão explorando ativamente — sequestrando sessões de clientes para acessar contas e dados alheios. Aqui não é mais “pode acontecer”: está acontecendo.

O que fazer com isso (o mesmo remédio, agora com pressa)

Você reparou no fio que costura os três casos? Em todos, a correção já existe. O que separa a empresa segura da vítima não é ter ou não a falha — é a velocidade de aplicar o conserto. Como já explicamos no guia de CVEs, a esmagadora maioria dos ataques bem-sucedidos explora falhas conhecidas e já corrigíveis — que ninguém aplicou a tempo.

Traduzido em ações práticas, sem precisar ser da TI:

1. Aplique as atualizações do Windows já. O Patch Tuesday de agosto contém a correção do Defender. Adiar é deixar a porta destrancada depois que a chave foi entregue.
2. Atualize o Zoom (e todo software de reunião) em todas as máquinas. Inclusive nos celulares — a falha valia para eles também.
3. Se a empresa usa ColdFusion, Adobe Commerce ou Magento, trate como emergência. Fale hoje com quem cuida do seu site: as versões corrigidas já saíram, e uma das falhas já está sendo explorada.
4. Estabeleça a rotina. Quem, na sua empresa, acompanha os avisos de segurança dos softwares que vocês usam, e em quanto tempo aplica as correções críticas? Se a resposta é “ninguém”, esse é o buraco real — maior que qualquer CVE individual.

Três softwares que você usa toda semana, três correções críticas em poucos dias. Não é azar nem sinal de que são ruins — é a rotina normal do software moderno. O que decide o seu risco é o que acontece depois do patch sair: na sua empresa, ele é aplicado em horas, em semanas, ou nunca?

Fontes

• Microsoft Security Response Center (MSRC) — Windows/Defender: msrc.microsoft.com
• Zoom — boletins de segurança: zoom.com/trust/security-bulletin
• Adobe — boletins de segurança (ColdFusion): helpx.adobe.com/security