Patch Tuesday de novembro: zero-day no Outlook e o que atualizar primeiro

Foram 1.093 vulnerabilidades corrigidas em 287 produtos no Patch Tuesday de 10 de novembro de 2026, com 63 classificadas como críticas e uma já explorada por atacantes, segundo a análise da Tenable sobre o pacote de novembro. A falha explorada é a CVE-2026-124194, no Outlook, que entrega o hash NTLMv2 do usuário a um servidor controlado pelo invasor.

A contagem varia conforme o critério: o Olhar Digital fala em 1.259 correções e identificadores, somando avisos de terceiros. Seja qual for o número, o volume obriga a priorizar. Elevação de privilégio responde por quase metade das falhas (48,9%) e execução remota de código, por 27,1%.

Para quem cuida de estações com Office

A prioridade número um é a CVE-2026-124194. Ela tem nota 6,5 e gravidade moderada, mas está no catálogo KEV da CISA e foi usada antes da correção. O vetor é um arquivo do Office preparado que, ao ser aberto, conecta o Outlook a um endereço externo sem o aviso de conteúdo remoto e envia o NTLMv2. O painel de leitura não aciona o ataque.

Produtos afetados: Microsoft 365 Apps for Enterprise, Office LTSC 2021 e Office LTSC 2024. Em ambiente gerenciado, force o canal de atualização e confirme a compilação nas máquinas, em vez de confiar no ciclo automático. Word (65 CVEs) e Excel (64) lideram a lista de produtos com mais falhas no mês, o que reforça a urgência do Office inteiro.

Mitigar NTLM enquanto o patch não chega a todos

• Bloqueie SMB de saída (TCP 445) no perímetro: o vazamento de hash depende de a máquina falar com um servidor externo.
• Coloque contas sensíveis no grupo Protected Users, que não usa NTLM.
• Audite e, onde der, restrinja o tráfego NTLM de saída por GPO (Restrict NTLM: Outgoing NTLM traffic to remote servers).
• Monitore autenticações vindas de IPs incomuns logo após a abertura de anexos.

Para quem mantém Active Directory

A CVE-2026-118146, no Active Directory Domain Services, permite execução remota de código por um atacante já autenticado na rede. Tem nota 8,8, é crítica e está marcada como de exploração mais provável. Controladores de domínio entram na primeira janela de manutenção.

A lista de elevação de privilégio com nota 7,8 e exploração provável é longa: Windows Installer, Kernel, Print Spooler, WMI, Winlogon, Telephony, Text Services Framework, Remote Access API, AppX Deployment Service e LUAFV. São as falhas que um invasor usa depois de entrar, para virar administrador.

Para quem roda Exchange ou SharePoint em servidor próprio

No SharePoint, a Tenable registra divergência entre a classificação “importante” do texto e “crítica” do título. Trate como crítica: nota 9,9 em servidor exposto não espera. O Exchange local tem histórico de ser alvo rápido depois da divulgação, então vale aplicar antes de qualquer outro servidor de borda.

Para quem desenvolve com VS Code

O editor recebeu duas correções relevantes: a CVE-2026-121663, de contorno de recurso de segurança (8,8), e a CVE-2026-121662, de execução remota de código (8,6). O VS Code se atualiza sozinho na maioria das instalações, mas máquinas com atualização desligada por política ou instaladas por gerenciador de pacotes ficam para trás. A versão instalada aparece em Ajuda, Sobre.

Quem mantém ambientes Windows para build também deve olhar o SQL Server, com 53 CVEs no mês.

Como provar que o patch entrou

Para o Windows, o PowerShell resolve rápido: Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5 lista as últimas atualizações e a data de instalação. No Office, a compilação aparece em Arquivo, Conta, Sobre, e pode ser comparada com a tabela de versões publicada pela Microsoft para cada canal. Em frota grande, um relatório do Intune ou do WSUS filtrado por novembro mostra quem ficou para trás, o que é mais confiável do que perguntar a cada usuário.

Ordem sugerida para a janela de manutenção

1. Office em todas as estações (CVE-2026-124194, explorada).
2. Controladores de domínio (CVE-2026-118146).
3. Exchange e SharePoint locais, começando pelos expostos à internet.
4. Servidores com Schannel e NAT expostos.
5. Demais estações e servidores com o pacote cumulativo do Windows.

O relato de outubro sobre os zero-days do Patch Tuesday de outubro ajuda a conferir se algo do mês passado ficou pendente. O próximo pacote mensal da Microsoft está previsto para 8 de dezembro de 2026, a segunda terça-feira do mês.