Atualização de outubro supera marca histórica e traz falhas exploradas ativamente

A Microsoft divulgou na terça-feira (14) o maior Pacote de Atualizações de Segurança (Patch Tuesday) de sua história, endereçando 1.413 vulnerabilidades (CVEs) — um salto expressivo em relação às 974 falhas corrigidas em setembro. Desse total, 80 são classificadas como críticas e duas são zero-days, sendo uma delas explorada ativamente em ataques reais.

Especialistas alertam, contudo, que o volume bruto de correções não deve ditar as prioridades de remediação. Tyler Reguly, diretor associado de P&D em segurança na Fortra, argumenta que o número total é irrelevante para a gestão de risco. “Vinte e seis, por exemplo, é quantas CVEs da Microsoft de 2026 apareceram no catálogo de Vulnerabilidades Conhecidas e Exploradas da CISA. No ano passado eram 30, e no anterior 32. Isso significa que menos de 1% das falhas corrigidas este ano são conhecidamente exploradas”, explicou.

Distribuição das falhas por produto

  • Windows: 1.102 vulnerabilidades
  • Office: 134
  • Ferramentas de Desenvolvimento (Dev Div): 61
  • SharePoint Server: 36
  • SQL Server: 22
  • Exchange Server: 7
  • Azure: 15
  • Defender: 4
  • Outras categorias: 32

A lista inclui ainda a republicação de uma falha reportada pela Cisco Talos, a CVE-2026-21413, descrita como uma execução remota de código (RCE) em extensão de imagem raw.

Zero-day ativo bypassa Marca da Web e desativa múltiplas defesas

A vulnerabilidade explorada ativamente é a CVE-2026-96951 (CVSS 8.8), localizada no Windows Shell e descoberta pela IA Claude da Anthropic. O defeito atinge a Marca da Web (Mark of the Web – MOTW), etiqueta que o Windows aplica a arquivos baixados da internet para classificar seu nível de perigo. Pesquisadores da Automox explicam que o bug permite criar arquivos que burlam a MOTW, desativando em cascata verificações como SmartScreen, Modo de Exibição Protegido do Office, bloqueio de macros, Controle de Aplicativo Inteligente no Windows 11 e o Gerenciador de Anexos.

“A MOTW funciona como um adesivo na embalagem: cada guarda no prédio verifica o adesivo, não o pacote em si. Este bug entrega o pacote sem adesivo. O resultado é um arquivo que abre como se o usuário o tivesse criado localmente. Nenhum diálogo de aviso, nenhuma visualização somente leitura, nenhum bloqueio de macro. Um único defeito desliga vários controles de uma vez.”

Segundo zero-day atinge .NET Framework e preocupa como técnica pós-invasão

A outra falha zero-day, CVE-2026-108398 (CVSS 8.8), reside no .NET Framework Security. A Microsoft a classifica como “exploração menos provável”, pois exige acesso local e conta de baixo privilégio. Trata-se de um caminho de pesquisa não confiável (untrusted search path): o atacante posiciona um assembly .NET malicioso no endpoint, registra-o para carregar em um processo protegido e executa código dentro desse processo sem acionar o Windows Defender Application Control (WDAC). Mike Walters, presidente da Action1, ressalta o perigo como técnica de pós-comprometimento: “Exploração bem-sucedida pode comprometer integridade do sistema, expor informações sensíveis, enfraquecer defesas de endpoint e interromper operações críticas”.

Outlook, SharePoint e SQL Server entre os destaques críticos

A Automox sinalizou ainda a CVE-2026-70242 (CVSS 9.8), uma RCE no Painel de Leitura do Outlook. Um e-mail malicioso dispara um estouro de buffer baseado em heap quando a mensagem é apenas visualizada no painel, sem necessidade de abri-la, autenticar ou interagir. “Bugs de painel de visualização surgem a cada poucos anos e chamam atenção porque o e-mail é a porta da frente. Endereços são fáceis de encontrar em vazamentos e sites corporativos, então mirar custa quase nada ao atacante”, advertiram os pesquisadores.

Dustin Childs, chefe de conscientização de ameaças da Zero Day Initiative (ZDI) na TrendAI, destacou a CVE-2026-102866 (CVSS 8.1), falha de elevação de privilégio no SharePoint causada por verificação criptográfica de assinatura inadequada. Um atacante que obtenha um token de prova válido para um usuário alvo pode modificá-lo, submetê-lo ao servidor e autenticar-se como esse usuário. Childs também apontou a CVE-2026-65674 (CVSS 8.8), RCE no SQL Server via desserialização de dados não confiáveis: um atacante autenticado envia requisição especial e executa código no servidor, sem interação do usuário. “Definitivamente verifique isso em qualquer SQL Server exposto diretamente à internet”, recomendou.

Com informações de: Dark Reading