A Microsoft lançou suas atualizações de segurança mensais nesta terça-feira, e uma das falhas corrigidas já está sendo usada em ataques.
O problema está em um driver central do kernel do Windows que gerencia operações de soquetes de rede. Um invasor com código já em execução em uma máquina pode utilizá-lo para escalar privilégios até SYSTEM (conta de sistema do Windows). Essa correção vai primeiro.
A falha é rastreada como CVE-2026-68820 (pontuação CVSS — Sistema de Pontuação de Vulnerabilidades Comuns: 7,0) e é a única deste lançamento que a Microsoft sinaliza como sob exploração ativa. A exploração depende de disparar uma condição de corrida no driver. A Microsoft não atribuiu publicamente a exploração a nenhum grupo. O Check Point Research afirma que o Lazarus utilizou o zero-day em sua campanha Operação Dream Job.
Outras quatro falhas no lançamento não exigem nada da vítima: nenhuma conta, nenhuma senha, nenhum clique. Elas afetam o Servidor DNS (Sistema de Nomes de Domínio) do Windows, os Serviços de Implantação do Windows, a implementação da Microsoft do protocolo de transporte QUIC e o HPC Pack (pacote de Computação de Alto Desempenho), e cada uma carrega uma pontuação CVSS de 9,8. Nenhuma foi sinalizada como explorada quando as atualizações foram enviadas.
Contando de forma independente, a Zero Day Initiative coloca o lançamento em 398 novos CVEs, 62 deles classificados como Críticos. A contagem mostra o tamanho do lançamento; o status de exploração e o alcance definem a ordem de aplicação das correções.
O lançamento também fecha a metade de execução remota de código (RCE) de uma cadeia do SharePoint cujo desvio de autenticação foi corrigido em julho. Ambientes SharePoint locais devem ter ambas as atualizações instaladas.
O Check Point Research afirmou que a CVE-2026-68820 é um use-after-free (uso após liberação de memória) no afd.sys, o Ancillary Function Driver for WinSock (Driver de Função Auxiliar para WinSock), um componente do lado do kernel da rede do Windows.
O bug é uma escalada de privilégios: o invasor precisa ter código em execução na máquina primeiro e, então, pode utilizá-lo para alcançar SYSTEM. A Microsoft o sinaliza como ativamente explorado, o que o coloca à frente das quatro RCEs de servidor com pontuação 9,8, apesar da pontuação menor.
Nada exigido da vítima
As quatro falhas de execução remota de código sem autenticação são aquelas que devem entrar na fila logo após o bug do driver explorado, porque podem conceder a um invasor código em um servidor sem precisar antes de uma conta ou ação do usuário.
- CVE-2026-62878, Servidor DNS do Windows. Um estouro de buffer baseado em pilha, alcançável remotamente sem autenticação e sem interação do usuário. A Zero Day Initiative descreve a condição como wormable (capaz de se autorreplicar como um worm), apesar de a Microsoft classificar a exploração como menos provável. O rótulo "wormable" da ZDI descreve a condição técnica; ele não estabelece que exista um worm.
- CVE-2026-62893, Serviços de Implantação do Windows (WDS). Uma falha remota alcançável por meio do tratamento TFTP (Protocolo Trivial de Transferência de Arquivos) do serviço, sem autenticação ou interação do usuário.
- CVE-2026-62815, Microsoft QUIC. Uma falha de execução remota de código sem autenticação, que não exige interação do usuário.
- CVE-2026-59124, HPC Pack. Carrega a mesma pontuação 9,8, mas é classificada como Importante em vez de Crítica porque o HPC Pack não é instalado por padrão. A Microsoft classifica a exploração como mais provável.
O HPC Pack não é instalado por padrão, e a prioridade prática dos outros três também depende de o serviço vulnerável estar presente e acessível em um determinado ambiente. Portanto, o inventário e a acessibilidade dos serviços importam tanto quanto o status de exploração ao definir a prioridade das correções.
Uma cadeia do SharePoint se fecha
Agosto também completa uma correção do SharePoint em duas partes, iniciada em julho.
O Rapid7 Labs relatou uma cadeia de exploração à Microsoft em 18 de maio, que combinava um desvio de autenticação com uma vulnerabilidade separada de execução de código para alcançar RCE sem autenticação contra o SharePoint local. A Microsoft confirmou dois dias depois que planejava dividir a remediação entre os ciclos de atualização de julho e agosto.
Julho corrigiu a primeira metade, CVE-2026-55040, um desvio de autenticação Crítico com pontuação 9,1. A Rapid7 descobriu que a falha permite que um invasor remoto não autenticado assuma a identidade de um usuário ou administrador de site do SharePoint, caso saiba qual identidade personificar. Agosto traz a correção do componente de RCE, identificado como CVE-2026-63520.
A distinção importa: a CVE-2026-63520 é a metade de execução de código da cadeia, e não a condição sem autenticação por si só. Encadear a RCE com a CVE-2026-55040 é o que produziu a RCE sem autenticação da Rapid7.
A Rapid7 afirma que corrigir a CVE-2026-55040 quebra a cadeia demonstrada; então, uma vez aplicada a correção de julho, essa rota já estava fechada. A atualização de agosto agora fecha também o componente de RCE.
Coloque a CVE-2026-68820 no topo da lista para sistemas Windows em que um invasor já tenha código em execução e possa usar a falha para alcançar SYSTEM. Priorize serviços DNS, WDS, QUIC e HPC expostos logo atrás e, em seguida, confirme que os ambientes SharePoint locais têm a correção do desvio de autenticação de julho e a correção de RCE de agosto.
