Microsoft Patch Tuesday - outubro 2026
há 14 horas
3 min de leitura
A Microsoft lançou a atualização de segurança mensal e, pela primeira vez, o número de vulnerabilidades corrigidas ultrapassa as 1.400. A edição inclui uma falha zero-day do Windows Shell já explorada ativamente em ataques, mais duas vulnerabilidades divulgadas publicamente antes do patch, e dezenas de falhas críticas de execução remota de código.
A nível de produtos/tecnologias, foram incluídos neste patch:
Windows: 1.102 CVEs (Shell, Win32k, kernel, Hyper-V, DHCP, DNS, iSCSI, Bluetooth, QUIC, Message Queuing, NPS, RDP, entre muitos outros)
Microsoft Office (Excel, Word, PowerPoint, Visio, Outlook): 134 CVEs
Ferramentas de desenvolvimento (.NET Framework, ASP.NET Core, Visual Studio, Visual Studio Code, PowerShell): 61 CVEs
SharePoint Server: 36 CVEs
SQL Server: 22 CVEs
Azure (App Service, Dataverse, entre outros serviços cloud): 15 CVEs
Exchange Server: 7 CVEs
Microsoft Defender: 4 CVEs
Outros produtos (incluindo componentes de terceiros como o kernel Linux e a libarchive): 32 CVEs
Solução e mitigação
Aplicar as atualizações de outubro, começando pelo zero-day do Windows Shell (CVE-2026-96951), já explorado ativamente e com prazo da CISA a terminar a 16 de outubro. Como a exploração depende de o utilizador abrir um ficheiro ou link malicioso, convém reforçar a cautela com ficheiros e ligações não confiáveis em simultâneo com o patch.
Priorizar os RCE de Outlook com exploração via painel de leitura (CVE-2026-70242 e outros quatro CVEs de Outlook): como basta ver a mensagem, o risco é elevado. Enquanto o patch não é aplicado, pode ser razoável, como medida de precaução geral, desativar o painel de leitura em contas de maior risco.
Tratar o Exchange Server como quase crítico: a Nightwing recomenda aplicar os quatro updates de Exchange (KB5129955, KB5129956, KB5129957 e KB5129958) sem esperar pela janela de manutenção normal, já que cada um corrige uma falha com CVSS 8.8. A equipa do Exchange recomenda instalar o SU em todos os servidores Exchange e nas estações com as ferramentas de gestão, reiniciar e confirmar que todos os serviços arrancam, e usar o Exchange Server Health Checker para encontrar servidores desatualizados.
Aplicar os cumulativos do Windows 11 (KB5127648 e KB5126653) e verificar a conformidade pelo número de build e não apenas pela presença do KB.
Priorizar serviços expostos à rede: DHCP, NPS, QUIC, Message Queuing e Remote Desktop Gateway. No SQL Server (CVE-2026-65674), verificar primeiro os servidores expostos à internet.
.NET e WDAC (CVE-2026-108398): não há workaround oficial. Aplicar o update e monitorizar o carregamento suspeito de assemblies, sobretudo em sistemas protegidos por WDAC.
Priorizar por exploitabilidade, não por contagem: o conselho da Zero Day Initiative é "patch what's proven, prioritized, and public". Os risk cohorts da Microsoft servem de ponto de partida, mas a análise CVE a CVE continua a ser necessária (exploração ativa, severidade, vetor de ataque, interação do utilizador e orientações específicas do produto).
Aplicar os boletins da Adobe, começando pelo ColdFusion, Commerce e Experience Manager.
Planear a saída de produtos em fim de suporte: segundo a Rapid7, o ESU do Windows Server 2012/2012 R2 (ano 3) e o suporte do Office 2021 terminam a 14 de outubro de 2026, e o Windows 11 24H2 Home e Pro chega ao fim de servicing. No Exchange, outubro é o último mês em que subscritores do ESU (período 2) do Exchange 2016 e 2019 recebem novas correções de segurança, depois disso só o Exchange SE é testado e corrigido. A Microsoft avisa que isso não significa que as versões antigas deixem de ser vulneráveis.
Medidas gerais: testar em staging mas sem atrasar demasiado, dada a existência de exploração ativa; manter atualizações automáticas via Windows Update, WSUS ou Intune; e acompanhar o Security Update Guide para os CVEs do Edge, ainda por publicar.
Comentários