A Microsoft liberou nesta terça-feira correções para um total de 1.259 vulnerabilidades em todo o seu portfólio de software, o segundo mês consecutivo em que o volume de correções ultrapassa 1.000 falhas.
As correções cobrem 726 falhas no Windows, 174 no Office, 61 em Ferramentas de Desenvolvedor, 59 no SQL Server, 53 em Ferramentas de Desenvolvedor e 27 no SharePoint Server. As correções também incluem 165 identificadores CVE (Common Vulnerabilities and Exposures) emitidos por terceiros, e não pela Microsoft. Mais de 500 falhas estão relacionadas a elevação de privilégio, seguidas por execução remota de código e divulgação de informações.
Com a rodada mais recente de correções, a Microsoft já tratou mais de 5.100 CVEs somente neste ano, segundo Satnam Narang, engenheiro sênior de pesquisa da Tenable.
Entre elas, uma falha de segurança de gravidade moderada no Microsoft Outlook (CVE-2026-124194, com pontuação CVSS, sistema de pontuação de severidade de vulnerabilidades, de 6,5) foi sinalizada pela Microsoft como explorada ativamente.
“A interface do produto não avisa os usuários sobre ações não seguras no Microsoft Office Outlook, o que permite que um atacante não autorizado realize falsificação de identidade (spoofing) por uma rede”, afirmou a Microsoft em um comunicado.
Um atacante não autenticado poderia enviar um arquivo de mensagem especialmente criado e convencer o alvo a abri-lo em uma versão afetada do Microsoft Outlook.
Isso, por sua vez, poderia levar o Outlook a se conectar a um local de rede controlado pelo invasor, sem exibir o aviso habitual de conteúdo externo. Com isso, informações de autenticação poderiam ser expostas, como um hash NTLMv2 (código derivado da credencial usada na autenticação), que poderia ser usado para se passar pelo usuário.
A Microsoft ressaltou que a exploração bem-sucedida exige conectividade de rede e interação do usuário. A empresa creditou o pesquisador Nono e Benoît Sevens, da Anthropic (usando o Claude), pela descoberta e pelo reporte da falha.
“O e-mail é a porta de entrada mais fácil para qualquer empresa, e essa falha transforma um arquivo aberto em uma identidade roubada”, disse Jack Bicer, diretor de pesquisa de vulnerabilidades da Action1. “Um hash capturado pode permitir que um atacante entre na conta da vítima, leia seus dados e avance para outros sistemas que consiga alcançar.”
“A classificação ‘moderada’ subestima essa falha. Invasores já estão explorando-a, basta um clique em um arquivo de e-mail, e ela afeta o Outlook, que quase toda organização usa. Um hash roubado pode abrir portas muito além da caixa de entrada.”
Ainda assim, a Microsoft não atribuiu a atividade a nenhum grupo de ameaças específico nem forneceu detalhes técnicos sobre como a vulnerabilidade está sendo explorada no ambiente real. O alerta também não esclarece se a descoberta ocorreu antes ou depois de os invasores começarem a explorar a falha.
O caso levou a Agência de Cibersegurança e Infraestrutura dos EUA (CISA) a incluir a falha em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV, sigla de Known Exploited Vulnerabilities). As agências federais devem aplicar a correção até 24 de novembro de 2026.
Outras vulnerabilidades de destaque incluem várias falhas de execução remota de código que afetam a Pesquisa do Windows (CVE-2026-116928), o Protocolo Leve de Acesso a Diretórios (LDAP, sigla de Lightweight Directory Access Protocol) (CVE-2026-119958), o Schannel do Windows (CVE-2026-119952), a Plataforma de Filtragem Virtual do Windows (CVE-2026-95962) e o Serviço de Rede do Xbox Live no Windows (CVE-2026-112967), além de uma falha de escalonamento de privilégios no Azure OpenAI (CVE-2026-119990).
“A maioria das equipes de segurança ainda não se recuperou totalmente do último mês de vulnerabilidades críticas em série, correções emergenciais e tudo o que recebeu a marca ‘2shell’, e chegamos de novo ao Patch Tuesday”, disse Jake Knott, chefe de inteligência de ameaças da watchTowr.
“As equipes estão começando a sentir o peso de responder à pergunta ‘o que realmente importa?’ quando há um incêndio atrás do outro todos os dias exigindo atenção imediata. Comece pelo que você realmente tem exposto à internet, depois pelo que já está sendo explorado no ambiente real e só então pelo restante. Antes de entrar em pânico, verifique se você sequer usa o componente vulnerável ou se atende aos pré-requisitos para a exploração.”
