Patch Tuesday bate recorde — dois zero-days exigem prioridade

A Microsoft publicou em 8 de setembro de 2026 um Patch Tuesday recorde, com dois zero-days do Windows já explorados. A contagem do BleepingComputer registrou 966 vulnerabilidades, 105 delas críticas, e identificou as falhas exploradas como CVE-2026-81963 e CVE-2026-85880.

A publicação oficial abrange mais do que as correções aplicáveis a uma única máquina. O alerta do NHS England baseado nos dados da Microsoft confirma 974 vulnerabilidades no conjunto de setembro, os dois zero-days explorados e produtos afetados nas famílias Windows, Azure, Office, Exchange Server, SharePoint Server, SQL e ferramentas de desenvolvimento. Para administradores, a prioridade decorre da exploração comprovada, não do total escolhido para a manchete.

Por que as contagens chegam a 966, 972 e 974

Os três números representam recortes diferentes do lançamento. O total de 966 considera as vulnerabilidades divulgadas pela Microsoft no próprio Patch Tuesday e deixa fora 204 falhas corrigidas em outros momentos do mês. Já 974 corresponde ao conjunto mais amplo listado nas notas de segurança de setembro, que também inclui itens sem correção a ser implantada diretamente em todos os ambientes.

O levantamento da Ars Technica com base na Zero Day Initiative contou aproximadamente 972 vulnerabilidades e 112 críticas; com correções do Chromium portadas para o Edge, o total chegaria a 997. A análise observa que falhas já tratadas e componentes externos tornam inexata a comparação entre levantamentos.

As páginas publicadas não oferecem uma reconciliação item a item capaz de explicar isoladamente cada diferença entre 966, 972 e 974. Por isso, nenhum desses números deve ser convertido em quantidade de patches por dispositivo: a aplicabilidade depende do produto, da versão, da função instalada e de correções que a própria Microsoft executa em serviços de nuvem.

Os dois zero-days permitem elevar privilégios no Windows

CVE-2026-81963 é uma falha de resolução inadequada de links no Windows Update Stack. Um invasor autorizado localmente pode explorá-la antes do acesso a arquivos e elevar seus privilégios até SYSTEM.

CVE-2026-85880 é um estouro de buffer baseado em heap no Windows Advanced Local Procedure Call, ou ALPC. Ela também permite elevação local até SYSTEM e não exige interação adicional do usuário depois que o invasor consegue executar código em um AppContainer com poucos privilégios.

As duas falhas são classificadas como importantes, não críticas, mas têm exploração detectada. Essa combinação mostra por que a severidade nominal não basta para definir a fila: um problema local pode ser usado depois de phishing, roubo de credenciais ou outra forma de acesso inicial para escapar de restrições e assumir controle mais amplo do sistema.

Não há informação pública suficiente sobre os responsáveis, os alvos ou a escala das campanhas. Também não se trata, em nenhum dos dois casos, de uma via remota e autônoma de entrada. A urgência vem do uso já observado e do privilégio obtido após o comprometimento inicial.

A fila deve combinar exploração, exposição e criticidade

Uma ordem operacional baseada em risco coloca primeiro a exploração comprovada, depois as superfícies acessíveis remotamente e, por fim, os ativos menos expostos. Isso evita que dezenas de falhas críticas sem exploração conhecida empurrem os dois zero-days para o fim da implantação.

1. Windows afetado em funções privilegiadas. Estações administrativas, jump servers, controladores de domínio e servidores operados por contas privilegiadas devem formar o primeiro anel para CVE-2026-81963 e CVE-2026-85880.
2. Serviços acessíveis pela internet. Falhas de execução remota aplicáveis a serviços publicados devem vir em seguida, sobretudo quando dispensam autenticação ou interação do usuário.
3. Servidores internos críticos. Sistemas de identidade, mensagens, colaboração e bancos de dados precisam ser ordenados pela possibilidade de movimento lateral e pelo impacto operacional de uma interrupção.
4. Frota de menor exposição. Estações comuns e componentes sem exploração conhecida podem avançar em ondas posteriores, conforme compatibilidade, telemetria e janelas de manutenção.

Essa priorização é uma avaliação editorial de risco, não uma substituição da matriz de ativos de cada organização. Um processo de teste e implantação em anéis continua necessário, mas os testes iniciais devem ser curtos o bastante para não prolongar a exposição dos sistemas que concentram acesso privilegiado.

O pacote alcança endpoints, servidores e serviços de nuvem

Embora os zero-days destacados estejam no Windows, o lançamento inclui produtos locais, aplicações de produtividade, plataformas de desenvolvimento e serviços de nuvem. A equipe responsável precisa cruzar o inventário com a lista de produtos e versões afetados; acompanhar apenas notebooks e desktops deixa servidores e componentes especializados fora da mudança.

O total publicado também não corresponde ao número de atualizações que cada ativo receberá. Parte dos CVEs aplica-se somente a versões ou funções específicas, enquanto correções de alguns serviços hospedados são executadas pela própria Microsoft. A fila útil é, portanto, formada por CVEs aplicáveis e ativos concretos, não por uma meta abstrata de 966, 972 ou 974 itens.

Até 9 de setembro, permanecem confirmados o recorde do lançamento e a exploração de CVE-2026-81963 e CVE-2026-85880. Ainda faltam detalhes públicos sobre as campanhas e eventuais problemas de compatibilidade após a implantação em larga escala; enquanto esses dados não aparecem, os dois zero-days continuam no primeiro grupo, seguidos pelas falhas remotas nos serviços mais expostos e críticos.

Leia também:

• Patch Tuesday sem sustos: teste, priorize e atualize sem parar a operação
• SonicWall SMA1000 sofre ataques ativos — duas falhas exigem correção
• “Ações do Claude” ainda não existem — e ofertas antecipadas podem valer zero