A Microsoft publicou ontem uma das maiores atualizações de segurança da sua história: mais de 1.400 vulnerabilidades corrigidas num único ciclo. É o segundo mês consecutivo em que a empresa quebra o próprio recorde, ultrapassando largamente as quase mil correções de setembro, que já tinham sido consideradas um volume “anormal” para o Patch Tuesday.
Dependendo da contagem, os números variam ligeiramente: a Cisco Talos lista 1.415 falhas, a Rapid7 identifica 1.413, e a BleepingComputer aponta 1.411, excluindo 348 vulnerabilidades que a Microsoft já tinha corrigido mais cedo no mês. Seja qual for o método, o total é extraordinário. Analistas como Satnam Narang, da Tenable, afirmam que a Microsoft já ultrapassou 4.000 CVEs em 2026, superando o recorde anterior de 2020.
Muitas alterações no contexto Microsoft e na vida dos produtos
A atualização inclui uma vulnerabilidade crítica já explorada: CVE‑2026‑96951, um bug de command injection no Windows Shell que permite contornar o Mark of the Web, mecanismo que avisa os utilizadores quando abrem ficheiros vindos da internet. A falha, com severidade 8.8/10, foi parcialmente identificada com ajuda do modelo Claude da Anthropic e já está listada no catálogo de vulnerabilidades ativamente exploradas da CISA. O problema é particularmente grave porque elimina o aviso de proteção do Windows, deixando o utilizador exposto sem perceber.
Além desta zero‑day, duas outras falhas tinham sido divulgadas publicamente antes de existir correção: um bypass no .NET Framework, descoberto por James Forshaw (Google Project Zero), e um ataque de negação de serviço no MessagePack‑CSharp. A Rapid7 alertou ainda para cinco vulnerabilidades no Outlook que permitem execução de código simplesmente ao visualizar um email no reading pane.
Com efeito, o volume de correções está a colocar pressão inédita sobre equipas de segurança. A Microsoft atribui o aumento ao uso de modelos de linguagem na descoberta de bugs, enquanto especialistas como Dustin Childs, da Zero Day Initiative, avisam que a gestão de patches está a chegar a um “ponto de rutura”. Para ajudar, a empresa está a testar um novo sistema de 15 “coortes de risco”, agrupando vulnerabilidades por impacto real, uma abordagem ainda experimental.
Finalmente, o dia 13 de outubro marcou também o fim de suporte para vários produtos: Windows 11 24H2 Home e Pro, Windows 10 Enterprise LTSB 2016, Office 2021, Exchange Server 2016 e 2019, e o fim do terceiro ano de atualizações pagas para Windows Server 2012 e 2012 R2. Notavelmente, o Windows Server 2012 não recebeu correção para a zero‑day do Windows Shell, embora o 2012 R2 tenha sido atualizado.
Fica ainda mais conectado:
- Satya Nadella – Investidores querem que CEO repita feito anterior com IA
- “The Batman Part II” interrompe filmagens e aumenta incerteza sobre a sequela
- Element Pro: alternativa ao Teams gera críticas em Bruxelas
