Patch Tuesday de outubro: recorde de mais de 1.400 falhas

Se a sua empresa usa Windows, Office ou Exchange, o pacote de atualizações de segurança que a Microsoft liberou em 13 de outubro de 2026 é o maior da história: mais de 1.400 vulnerabilidades corrigidas de uma vez. O Patch Tuesday de outubro superou o de setembro, que já tinha sido recorde, e trouxe uma falha que criminosos exploravam antes de existir conserto.

Para uma empresa pequena, com um técnico terceirizado ou com o “sobrinho que entende de computador”, esse volume assusta. Mas o trabalho pode ser feito por ordem de prioridade, e é essa ordem que propomos mais abaixo, depois de explicar o que veio no pacote.

Quantas falhas o Patch Tuesday de outubro corrigiu?

Depende de quem conta. A Tenable chegou a 1.407 CVEs, sendo 69 críticas. A Computerworld contou 1.408, com 72 críticas, contra 963 em setembro. Já a Zero Day Initiative, citada pela Security Affairs, chegou a 1.415 e admitiu que contar esse lote “é sempre trabalhoso”.

A diferença vem do critério de contagem. O lote mistura produtos muito diferentes, de Windows e Office a SQL Server, serviços do Azure e até o kernel Linux, e cada empresa de segurança decide o que entra na conta. Para quem administra máquinas, o número exato pouco importa. Mais relevante é que, segundo a Security Affairs, foi a primeira vez que a Microsoft passou de mil vulnerabilidades num único mês. Só o Windows respondeu por 1.122 delas, 42 críticas, de acordo com a Computerworld.

A falha no Mark of the Web que já estava sendo explorada

A única vulnerabilidade do Patch Tuesday de outubro confirmada como usada em ataques antes da correção é a CVE-2026-96951, no Windows Shell, com nota 8,8 no CVSS. Ela permite driblar o chamado Mark of the Web.

Em português simples: quando você baixa um arquivo da internet ou recebe um anexo por e-mail, o Windows coloca nele uma marca de “veio de fora”. É essa marca que faz aparecer o aviso do SmartScreen e que abre documentos do Office em modo protegido. Com a falha, o arquivo malicioso chega sem a marca, e o aviso não aparece.

O ataque ainda depende de alguém abrir o arquivo. No Brasil, o roteiro é conhecido: e-mail com “boleto em atraso”, “nota fiscal eletrônica” ou “intimação” e um anexo compactado. Sem o aviso do Windows, a proteção passa a depender da atenção de quem está no financeiro às cinco da tarde de uma sexta-feira. Por ser a única falha do lote com exploração confirmada pela Microsoft, ela deve ser a primeira da fila.

A surpresa do SharePoint

Quem tem SharePoint Server instalado na própria empresa precisa olhar outro item. A CVE-2026-65660, uma falha de execução remota de código, foi corrigida em agosto. Em 25 de setembro, a Microsoft revisou o alerta e informou ter “evidências confiáveis de ataques observados”, e a agência americana CISA a incluiu no mesmo dia no seu catálogo de vulnerabilidades exploradas. O problema, apontado pela Computerworld, é que o guia de atualizações da Microsoft ainda mostrava “Exploited: No” para ela. Quem filtra as prioridades por esse campo deixa a falha passar.

Por que o volume de atualizações de segurança explodiu

A Security Affairs atribui parte do salto ao uso de inteligência artificial por pesquisadores, que estão encontrando falhas mais rápido, tanto do lado de quem defende quanto do lado de quem ataca. A Microsoft, por sua vez, passou a reunir vulnerabilidades relacionadas em “risk cohorts”, num formato que lembra os antigos boletins de segurança. Greg Lambert, que assina a análise mensal da Computerworld, disse esperar “alguns meses de pacotes extraordinários” e acha que ainda não chegamos ao “patch máximo”.

Nossa opinião é que pacotes do tamanho do Patch Tuesday de outubro vão se repetir. Empresas que ainda atualizam computadores “quando dá” vão ficar sempre atrasadas, porque a mesma IA que ajuda o pesquisador a achar a falha também está na mão de quem ataca. Na prática, isso pede uma data fixa no calendário (por exemplo, a quinta-feira depois de cada Patch Tuesday) e um nome responsável por conferir.

Patch Tuesday de outubro: passo a passo para pequenas e médias empresas

Se você tem de 5 a 200 computadores e pouca gente de TI, esta é uma ordem razoável de trabalho:

1. Confira se as estações receberam a atualização de outubro. Em Configurações, Windows Update, Histórico de atualizações, a atualização cumulativa de outubro deve aparecer como instalada. Em empresas com Intune, WSUS ou outra ferramenta de gestão, gere o relatório de conformidade. Máquina desligada há semanas costuma ser o buraco.
2. Priorize quem abre e-mail e baixa arquivo. Por causa da falha no Mark of the Web, financeiro, compras e atendimento vêm primeiro. São os setores que mais recebem boleto, nota fiscal e planilha de fora.
3. Depois, os servidores expostos. Exchange e SharePoint instalados localmente, servidores de DNS e DHCP. A ZDI contou 59 falhas com potencial de se espalhar sozinhas pela rede em serviços como DHCP, DNS e Gateway de Área de Trabalho Remota, embora admita que parte dessa classificação pode estar errada.
4. No SharePoint local, confirme a atualização de agosto. Não confie no campo “Exploited” do guia da Microsoft para isso.
5. No Exchange local, confira os pacotes. A Computerworld lembra que as atualizações KB5129955 a KB5129958, liberadas em 2 de outubro, são separadas das de 13 de outubro. As duas levas precisam estar instaladas.
6. Teste antes de espalhar para todos. Separe três ou quatro máquinas e teste impressão, abertura de arquivos baixados (o aviso do SmartScreen precisa continuar aparecendo), instalação de programas, VPN e Wi-Fi corporativo. Onde o recurso Administrator protection estiver ativo, teste a Área de Trabalho Remota com uma conta sem privilégios de administrador, porque a Microsoft reconheceu um erro nesse cenário (código 0xC000000D) e, até sair a correção, sugere desligar o recurso temporariamente.
7. Faça o inventário das máquinas antigas. Com esta rodada, o Windows 10 Enterprise 2016 LTSB chegou ao fim do suporte estendido. Qualquer computador sem atualização de segurança precisa sair da rede principal ou ser substituído.
8. Converse com a equipe. Um aviso curto no grupo da empresa já ajuda: anexo compactado de remetente desconhecido não se abre, e boleto se confere no aplicativo do banco.

Para quem usa Microsoft 365 na nuvem, a parte do Exchange e do SharePoint é responsabilidade da Microsoft. Os computadores dos funcionários, não. A falha explorada está no Windows de cada máquina.

E o site da empresa?

O Patch Tuesday de outubro fala de Windows e Office, mas a lógica vale para o site. WordPress, plugins e tema também recebem correções de segurança com frequência, e um plugin desatualizado é a porta de entrada mais comum em sites de pequenas empresas. Se o painel mostra dez atualizações pendentes há meses, a empresa está repetindo no site o mesmo erro que evita nos computadores.

A SevenDD acompanha atualizações e segurança de sites e de sistemas para empresas que não têm uma equipe de TI dedicada. Se quiser ajuda para montar uma rotina mensal que dê conta desse volume, fale com a gente.

Foto: Zulfugar Karimov / Unsplash