A Microsoft publicou nesta terça-feira o maior Patch Tuesday de sua história, corrigindo 1.413 vulnerabilidades em uma única atualização. O número supera o recorde anterior de setembro de 2026, que já havia chamado atenção com 974 CVEs. Entre as correções, 80 falhas são classificadas como críticas e duas são zero-days, sendo uma delas já explorada ativamente por atacantes.
A zero-day que exige ação imediata
A falha mais urgente é a CVE-2026-96951 (CVSS 8.8), localizada no Windows Shell e confirmada como explorada na natureza. A vulnerabilidade permite que atacantes criem arquivos que ignoram a marca Mark of the Web (MOTW), o mecanismo que o Windows aplica a arquivos baixados da internet para sinalizar risco.
Na prática, isso significa que as proteções que dependem do MOTW deixam de funcionar para esses arquivos. Segundo pesquisadores da Automox, a cadeia de segurança afetada inclui:
- SmartScreen
- Office Protected View
- Bloqueio de macros do Office
- Smart App Control no Windows 11
- Prompts do Attachment Manager
A falha foi reportada por pesquisadores da Fujitsu (Riku Bamba e Yuya Chudo), da Anthropic (Benoit Sevens) e por um pesquisador independente identificado como “yhw”. O bypass do MOTW é particularmente perigoso porque compromete uma das primeiras defesas do Windows contra conteúdo malicioso recebido por email ou download.
Os números por trás do recorde
Do total de 1.413 CVEs, o Windows concentra a maioria absoluta com 1.102 falhas corrigidas. A distribuição inclui ainda 134 vulnerabilidades no Office, 61 em ferramentas de desenvolvimento, 36 no SharePoint Server, 22 no SQL Server, 15 no Azure, sete no Exchange Server e quatro no Defender.
A segunda zero-day, CVE-2026-108398, afeta a segurança do .NET Framework. Embora não haja relatos de exploração ativa até o momento, a classificação como zero-day indica que a informação sobre a falha já era pública antes da correção ser disponibilizada.
O volume importa menos do que o risco real
Especialistas em segurança recomendam que equipes de TI não se deixem paralisar pelo volume recorde. Tyler Reguly, diretor associado de pesquisa em segurança da Fortra, colocou os números em perspectiva:
“Vinte e seis, por exemplo, é o número de CVEs da Microsoft em 2026 que apareceram no catálogo de vulnerabilidades exploradas conhecidas (KEV) da CISA. Ano passado foram 30 e no anterior, 32. Isso significa que menos de 1% das vulnerabilidades corrigidas pela Microsoft neste ano são conhecidas como exploradas.”
Ainda assim, o contexto é importante. O Patch Tuesday de outubro consolida uma tendência que analistas chamam de “era da vulnpocalipse”, impulsionada em parte pelo uso de inteligência artificial para descoberta de vulnerabilidades. Em setembro, o recorde de 974 CVEs já havia surpreendido. Agora, com quase 50% mais correções em um único mês, a pressão sobre equipes de infraestrutura e segurança se intensifica.
O que times de infraestrutura devem fazer agora
Para organizações que gerenciam ambientes Windows, a recomendação é direta: priorizar a CVE-2026-96951 acima de todas as outras, dado que já está sendo explorada. Em seguida, avaliar o impacto das 80 falhas críticas com base no ambiente específico da empresa.
Ferramentas de monitoramento como Wazuh e Zabbix podem ajudar a identificar quais ativos estão expostos e a rastrear o progresso da aplicação de patches. Em ambientes com centenas de máquinas, a automação do patch management deixou de ser luxo e se tornou requisito operacional.
O recorde de outubro reforça uma realidade que não vai mudar: a superfície de ataque do ecossistema Microsoft continua expandindo, e a velocidade de resposta das equipes de segurança precisa acompanhar. Organizações que ainda dependem de ciclos mensais manuais de patching estão assumindo um risco crescente a cada Patch Tuesday.