A Microsoft distribuiu atualizações para corrigir pelo menos 974 vulnerabilidades em seus sistemas Windows e outros produtos. O volume representa o maior lote de correções de segurança já publicado pela companhia e coloca administradores diante de um desafio sem precedentes de testes e implantação.

O recorde anterior, estabelecido em julho, somava pelo menos 570 falhas. Com o Patch Tuesday de setembro, o total de 2026 ultrapassa 2.600 correções, mais que o dobro dos 1.245 registradas no ano recorde anterior, em 2020, deixando ainda três meses para o fechamento do calendário.

Entre as correções estão duas falhas exploradas ativamente, identificadas como CVE-2026-81963 e CVE-2026-85880. As duas permitem que um invasor eleve seus privilégios em sistemas Windows.

Correções críticas exigem ação rápida

113 vulnerabilidades receberam a classificação de crítica da Microsoft, categoria que abrange falhas passíveis de uso por malware ou agentes maliciosos para assumir o controle de uma máquina vulnerável com pouca ou nenhuma interação do usuário.

Destaca-se a CVE-2026-69730, uma falha de DNS presente no Windows Server 2012 e versões posteriores, além do Windows 10. Um atacante sem autenticação poderia explorá-la apenas enviando um pacote especialmente elaborado ao sistema afetado, e a Microsoft considera provável o uso da falha em ataques.

A CVE-2026-69829 afeta o Windows Shell e permite execução remota de código. Sua pontuação CVSS é 9,8, em uma escala cuja máxima é 10. A exploração exige baixa complexidade, não requer privilégios iniciais e pode ocorrer sem qualquer ação da vítima.

Inteligência artificial acelera descobertas

A Microsoft atribui parte da rapidez na identificação de falhas ao uso de inteligência artificial. Adobe, Cisco, Google, Mozilla e Oracle também associaram pesquisas auxiliadas por IA ao aumento da frequência e do volume de correções. O Google anunciou nesta quinta-feira que passará a distribuir atualizações de segurança a cada duas semanas.

Tyler Reguly, diretor associado de pesquisa e desenvolvimento de segurança da Fortra, alerta que corporações precisam testar as atualizações antes de distribuí-las. Mudanças no sistema operacional podem causar incompatibilidades com softwares de terceiros, e a operação costuma exigir trabalho fora do expediente, incluindo fins de semana. Reguly recomenda avaliar recursos e recompensas para as equipes responsáveis pela implantação.

Satnam Narang, engenheiro de pesquisa sênior da Tenable, afirma que o crescimento do volume de vulnerabilidades não significa que todas terão impacto relevante. Para ele, a prioridade deve considerar se a falha se aplica à organização, se está alcançável e se pode ser explorada, evitando que equipes dispersem esforço entre correções de menor risco.

Usuários domésticos devem manter o Windows Update ativo e aceitar as notificações de atualizações pendentes, evitando que elas se acumulem por meses. Administradores empresariais também devem acompanhar o askwoody.com para identificar problemas reportados após instalações e consultar o SANS Internet Storm Center para uma divisão de cada correção por gravidade e urgência.

Com informações de: Krebs on Security