Microsoft corrige 1.413 falhas de segurança, incluindo zero-day explorado

A Microsoft corrigiu 1.413 vulnerabilidades na atualização de segurança de outubro de 2026, estabelecendo um novo máximo mensal para o Patch Tuesday. Entre as falhas corrigidas encontra-se uma vulnerabilidade zero-day no Windows que está a ser explorada ativamente.

O volume de correções ultrapassa o total de vulnerabilidades resolvidas pela Microsoft durante todo o ano de 2025. Desde o início de 2026, a empresa já corrigiu mais de quatro mil falhas de segurança. O aumento do número de falhas identificadas está associado, em grande medida, à utilização crescente de ferramentas de Inteligência Artificial (IA) na análise de código e deteção de vulnerabilidades.

Segundo os dados divulgados, 1.102 vulnerabilidades afetam o Windows, 134 encontram-se no Office, 61 em ferramentas de desenvolvimento e 36 no SharePoint Server. Foram também disponibilizadas correções para o Exchange Server, Azure, Defender e outros produtos.

A vulnerabilidade mais relevante desta atualização é a CVE-2026-96951, classificada com uma pontuação de 8,8 no Common Vulnerability Scoring System (CVSS). A falha afeta o Windows Shell e permite contornar mecanismos de Segurança associados ao Mark of the Web (MotW).

O MotW é utilizado pelo Windows para identificar ficheiros provenientes da Internet, permitindo que mecanismos como o Microsoft Defender SmartScreen e o Office Protected View apliquem restrições adicionais à sua execução. Ao contornar esta proteção, um atacante pode conseguir que ficheiros maliciosos sejam abertos sem desencadear os avisos de segurança habitualmente apresentados ao utilizador.

Segundo a Microsoft, a exploração pode ocorrer através de ficheiros especialmente preparados e enviados por correio eletrónico ou aplicações de mensagens. O atacante necessita, contudo, de convencer a vítima a realizar uma ação, como abrir o ficheiro malicioso. A vulnerabilidade não permite, por si só, forçar a execução de conteúdo sem interação do utilizador. A falha foi comunicada à Microsoft por investigadores da Fujitsu, da Anthropic e por um especialista independente. A empresa confirmou a existência de exploração ativa, mas não divulgou informações sobre os ataques observados, os grupos envolvidos ou a dimensão das campanhas.

A Agência de Cibersegurança e Segurança das Infraestruturas dos Estados Unidos (CISA) adicionou a CVE-2026-96951 ao catálogo Known Exploited Vulnerabilities (KEV), que reúne vulnerabilidades com exploração confirmada. A agência determinou que as entidades federais norte-americanas abrangidas devem corrigir a falha até 16 de outubro de 2026.

A inclusão no catálogo KEV reforça a necessidade de priorizar a instalação da atualização, sobretudo em ambientes empresariais onde os utilizadores recebem frequentemente documentos e ficheiros de fontes externas. Embora a exploração exija interação do utilizador, a possibilidade de contornar os avisos do Windows pode facilitar ataques baseados em engenharia social e distribuição de malware.

Duas vulnerabilidades já eram públicas antes das correções

Além da falha explorada ativamente, a Microsoft corrigiu duas vulnerabilidades cujos detalhes já tinham sido divulgados publicamente antes da disponibilização dos patches.

Uma delas é a CVE-2026-108398, que permite contornar mecanismos de aplicação de políticas do Windows Defender Application Control (WDAC). Esta tecnologia é utilizada para controlar as aplicações e o código autorizados a executar nos sistemas Windows. Apesar da divulgação pública, a Microsoft considera pouco provável que a vulnerabilidade venha a ser explorada.

A segunda falha é a CVE-2026-92707, uma vulnerabilidade de negação de serviço (DoS) no componente MessagePack-CSharp, utilizado em ambientes Visual Studio e .NET. Neste caso, a Microsoft não apresentou uma avaliação sobre a probabilidade de exploração.

A divulgação pública destas duas falhas não significa que estejam a ser exploradas ativamente. De acordo com as informações disponibilizadas, apenas a CVE-2026-96951 tem exploração confirmada entre as vulnerabilidades destacadas.

Microsoft introduz nova abordagem à priorização de patches

Perante o aumento do número de vulnerabilidades corrigidas, a Microsoft anunciou também uma nova abordagem para ajudar as organizações a definir prioridades na aplicação das atualizações de segurança.

A funcionalidade, designada risk cohorts, permite agrupar vulnerabilidades que exigem avaliações semelhantes por parte dos clientes. Ao contrário de uma classificação baseada exclusivamente na gravidade ou na pontuação CVSS, estes grupos procuram identificar características comuns relacionadas com os ambientes em que as falhas podem ser exploradas.

Segundo a Microsoft, as vulnerabilidades incluídas num mesmo grupo não precisam de partilhar a mesma causa técnica ou pontuação de gravidade. O elemento comum é a necessidade de responder a uma questão semelhante sobre a configuração ou exposição dos sistemas da organização.

Esta abordagem pretende facilitar a análise do impacto das correções, particularmente em empresas que gerem grandes quantidades de equipamentos e aplicações Microsoft. A tecnológica esclarece, no entanto, que os risk cohorts devem funcionar apenas como ponto de partida para a definição de prioridades.

Os administradores devem continuar a avaliar individualmente as vulnerabilidades, considerando fatores como exploração ativa, gravidade, vetor de ataque, necessidade de interação do utilizador e recomendações específicas para cada produto.

Com mais de 1.400 vulnerabilidades corrigidas num único mês, a atualização de outubro coloca pressão adicional sobre os processos de gestão de vulnerabilidades das organizações. A prioridade imediata deverá recair sobre a CVE-2026-96951, devido à exploração ativa confirmada, seguindo-se a avaliação das restantes correções em função da exposição e da criticidade dos sistemas afetados.