A Microsoft quebrou o próprio recorde no Patch Tuesday ao publicar correções para impressionantes 1.413 vulnerabilidades, incluindo uma que, segundo a empresa, já foi alvo de exploração ativa.
Entre elas estão 1.102 falhas no Windows, 134 no Office, 61 em ferramentas de desenvolvedor, 36 no SharePoint Server e 22 no SQL Server. Dessas, mais de 670 estão relacionadas a escalonamento de privilégios, seguidas por mais de 300 falhas de execução remota de código e 250 de vazamento de informações. Mais de 70 falhas são classificadas com gravidade crítica.
«Centenas de CVEs (sigla de Common Vulnerabilities and Exposures, ou identificadores públicos de vulnerabilidades) em um único lançamento costumavam ser a exceção; agora são a referência», afirmou Dustin Childs, responsável pela área de Threat Awareness da Zero Day Initiative (ZDI), em análise publicada. «A inteligência artificial (IA) tem culpa? Em parte. Ela está acelerando a busca por falhas dos dois lados, então os fornecedores encontram (e corrigem) mais vulnerabilidades, e os pesquisadores também as descobrem mais rápido.»
«Mas a IA não está criando essas falhas do nada; ela apenas encurta o tempo entre a existência de uma vulnerabilidade e alguém percebê-la. O volume não é mais a história real. O que importa é que a descoberta está avançando mais rápido que a exploração, então equipes que priorizam pela quantidade bruta de CVEs, em vez da explorabilidade, gastam esforço com os bugs errados. Corrija o que está comprovado, priorizado e público, e trate todo o resto como o novo normal deste mês.»
Vulnerabilidades em destaque
As três vulnerabilidades de destaque estão listadas abaixo:
- CVE-2026-96951 (pontuação CVSS, sigla de Common Vulnerability Scoring System, ou sistema de pontuação de gravidade de vulnerabilidades: 8,8): falha de injeção de comando no Windows Shell que permite a um invasor não autorizado contornar um recurso de segurança pela rede.
- CVE-2026-108398 (pontuação CVSS: 8,8): falha de caminho de busca não confiável no .NET Framework que permite a um invasor autorizado contornar um recurso de segurança localmente.
- CVE-2026-92707 (pontuação CVSS: 5,3): falha de alocação sequencial de memória sem controle adequado no MessagePack-CSharp, que permite a um invasor não autorizado causar negação de serviço pela rede.
A Microsoft, que creditou Riku Bamba e Yuya Chudo, da Fujitsu, Benoit Sevens, da Anthropic, e um pesquisador identificado como yhw pela notificação da CVE-2026-96951, afirmou que a vulnerabilidade já foi explorada em ataques reais.
«Um invasor que explorasse com sucesso a vulnerabilidade poderia burlar as defesas do Mark of the Web (MOTW, marcação que identifica arquivos baixados da internet)», disse a fabricante do Windows. «Em um cenário de ataque por e-mail ou mensagem instantânea, o invasor poderia enviar ao usuário alvo um arquivo especialmente criado para explorar a vulnerabilidade.»
«Em qualquer caso, um invasor não teria como forçar o usuário a visualizar conteúdo controlado por ele. Em vez disso, precisaria convencer o usuário a tomar uma ação. Por exemplo, poderia induzi-lo a clicar em um link que o direciona ao site do invasor ou a enviar um anexo malicioso.»
Não está claro como a vulnerabilidade está sendo explorada em ataques reais, por quem nem quem foi o alvo. A U.S. Cybersecurity and Infrastructure Security Agency (CISA) incluiu a falha em seu catálogo Known Exploited Vulnerabilities (KEV), que exige que agências federais apliquem as correções até 16 de outubro de 2026.
A CVE-2026-108398 foi reconhecida como publicamente conhecida no momento do lançamento das correções, e a Microsoft afirmou que a falha pode ser explorada para burlar a aplicação do Windows Defender Application Control (WDAC) e executar aplicativos não autorizados nos sistemas afetados.
«Um invasor autenticado poderia colocar um assembly .NET especialmente criado em um sistema afetado e registrá-lo para carregamento por um processo protegido», disse a Microsoft. «A exploração bem-sucedida poderia burlar as restrições do Windows Defender Application Control e permitir que o invasor execute código dentro do processo protegido. Não é necessária interação do usuário.»
«Essa vulnerabilidade é particularmente perigosa como técnica de ataque pós-comprometimento, pois permite que invasores com acesso local já existente contornem restrições de segurança sem interação do usuário», disse Mike Walters, presidente e cofundador da Action1, em comentário. «A exploração bem-sucedida poderia comprometer a integridade do sistema, expor informações sensíveis de negócios, enfraquecer as defesas dos dispositivos finais e interromper operações críticas.»
A Microsoft atribuiu a descoberta da vulnerabilidade a James Forshaw, do Google Project Zero, e creditou um pesquisador anônimo pela notificação da CVE-2026-92707. A falha é a segunda marcada como divulgada publicamente.
Também foram lançadas correções para uma CVE não pertencente à Microsoft (CVE-2026-21413, pontuação CVSS: 9,8), um estouro de buffer baseado em heap que afeta a Raw Image Extension e pode resultar em execução remota de código.
«Um invasor poderia explorar essa vulnerabilidade convencendo um usuário a navegar até uma pasta que contenha um arquivo de imagem RAW especialmente criado», disse a Microsoft. «A vulnerabilidade pode ser acionada quando o Windows gera uma miniatura ou visualização; o usuário não precisa abrir o arquivo.»
O anúncio ocorre em meio ao uso contínuo de abordagens assistidas por IA para descobrir e corrigir vulnerabilidades de segurança. No mês passado, a Microsoft corrigiu quase 1.000 vulnerabilidades. Segundo Satnam Narang, engenheiro sênior de pesquisa da Tenable, mais de 4.000 CVEs foram corrigidas pela Microsoft somente neste ano.
«A enorme quantidade de vulnerabilidades nos lançamentos recentes do Patch Tuesday pode facilmente incluir vários exemplos de falhas potencialmente preocupantes, cada uma das quais poderia ter sido mais notável por si só quando os volumes eram menores», disse Adam Barnett, engenheiro de software líder da Rapid7.
Novo método de priorização
Junto com as atualizações deste mês, a Microsoft também apresentou um novo método para ajudar organizações a priorizar atualizações de segurança, agrupando falhas relacionadas em o que chama de coortes de risco (risk cohorts).
«Uma coorte de risco é um grupo de CVEs que exige uma avaliação semelhante por parte do cliente», afirmou a Microsoft em publicação em seu blog. «As coortes de risco são um ponto de partida, não uma decisão final. Os clientes devem continuar a revisar cada CVE quanto à exploração ativa, gravidade, vetor de ataque, interação do usuário e orientações específicas de cada produto.»
