A Microsoft publicou em 13 de outubro de 2026 o maior pacote mensal de correções da sua história: 1.411 vulnerabilidades corrigidas, 70 delas classificadas como críticas. Entre elas estão três zero-days, um já explorado por atacantes no Windows Shell e dois divulgados publicamente antes da correção, no .NET Framework e na biblioteca MessagePack-CSharp, segundo o BleepingComputer.
Para quem cuida de servidores, estações de trabalho ou pipelines de build, o volume torna inviável tratar tudo com a mesma urgência. A pergunta prática é a ordem: o que sobe primeiro, o que pode esperar o ciclo normal de testes e como usar a nova classificação por grupos de risco que a Microsoft estreou em outubro.
Em resumo: aplique primeiro a correção da CVE-2026-96951, falha no Windows Shell que já está sendo explorada e contorna a proteção Mark of the Web. Em seguida, trate a CVE-2026-108398, do .NET Framework, que permite contornar o WDAC. Depois, use os risk cohorts para agrupar o restante por área. Projetos .NET que usam MessagePack-CSharp precisam atualizar a dependência.
Os números do maior Patch Tuesday da Microsoft
O pacote de outubro não inclui as 348 falhas corrigidas mais cedo no mês, em produtos como o navegador Edge. A distribuição por tipo mostra que a maior parte é de elevação de privilégio, o tipo de falha que transforma um acesso limitado em controle da máquina.
| Tipo de vulnerabilidade | Quantidade |
|---|---|
| Elevação de privilégio | 677 |
| Execução remota de código | 317 |
| Divulgação de informações | 254 |
| Negação de serviço | 73 |
| Desvio de recurso de segurança | 40 |
| Falsificação (spoofing) | 28 |
Das 70 falhas críticas, 57 são de execução remota de código, 11 de elevação de privilégio e 2 de falsificação. Entre as críticas citadas estão uma execução remota de código no Active Directory Domain Services (CVE-2026-70229), duas falhas de falsificação no AD FS (CVE-2026-96222 e CVE-2026-108131), uma no Azure App Service (CVE-2026-77900) e uma elevação de privilégio no kernel Linux (CVE-2026-62840), que aparece no pacote por causa de componentes distribuídos pela própria Microsoft.
Os três zero-days e por que um deles vem primeiro
CVE-2026-96951: Windows Shell, explorada
É a única das três com exploração confirmada. A falha permite contornar o Mark of the Web, a marcação que o Windows aplica a arquivos baixados da internet para disparar alertas e restrições, como o modo protegido do Office e o aviso do SmartScreen. A Microsoft descreve a falha como injeção de comando e não detalhou como ela foi usada nem quem a reportou. Na prática, esse tipo de brecha é usado para fazer um anexo ou download malicioso rodar sem os avisos que normalmente travariam o usuário. O registro oficial está no Guia de Atualizações de Segurança da Microsoft.
CVE-2026-108398: .NET Framework, divulgada publicamente
Classificada como importante, permite contornar o Windows Defender Application Control (WDAC) e executar código não autorizado em um processo protegido, sem interação do usuário. A Microsoft resume a causa como um caminho de busca não confiável no .NET Framework, explorável localmente por um atacante já autenticado. A descoberta foi creditada a James Forshaw, do Google Project Zero. Como os detalhes já são públicos, a janela até o surgimento de exploração tende a ser curta.
CVE-2026-92707: MessagePack-CSharp, divulgada publicamente
Falha moderada de alocação de memória que permite a um atacante pela rede causar negação de serviço. Aqui o ponto de atenção é diferente: a MessagePack-CSharp é uma biblioteca usada dentro de aplicações, então a correção não chega só pelo Windows Update. Quem desenvolve em .NET precisa atualizar o pacote no projeto e publicar uma nova versão.
Ordem sugerida para times de infraestrutura e desenvolvimento
- Estações de trabalho com acesso a e-mail e internet: aplicar a correção da CVE-2026-96951, porque o vetor típico é o usuário abrindo um arquivo baixado.
- Controladores de domínio e servidores de identidade: priorizar as falhas críticas do Active Directory Domain Services e do AD FS, pelo impacto de uma exploração nesse ponto.
- Máquinas que dependem de WDAC: aplicar a correção do .NET Framework (CVE-2026-108398), já que a falha anula justamente a política de controle de aplicações.
- Aplicações .NET próprias: verificar a árvore de dependências em busca de MessagePack-CSharp e atualizar o pacote.
- Demais grupos: seguir o ciclo normal de teste e implantação usando os risk cohorts para dividir o volume.
Como usar os risk cohorts sem cair em armadilha
A partir do pacote de outubro, a Microsoft passou a agrupar falhas relacionadas em risk cohorts, conjuntos que ajudam a enxergar quais áreas do ambiente concentram mais correções. Em outubro foram 15 grupos. Os maiores:
- Sistemas de arquivos, armazenamento e backup do Windows: 136 falhas.
- Documentos do Office e clientes de e-mail: 135 falhas.
- Gráficos, mídia e processamento de conteúdo do Windows: 131 falhas.
- Núcleo e limites de privilégio do kernel do Windows: 109 falhas.
- Serviços de instalação, implantação e atualização do Windows: 103 falhas.
A própria Microsoft avisa que os grupos não indicam necessariamente quais falhas são mais perigosas. O risco real depende de exploração ativa, gravidade e da forma como cada software é usado no seu ambiente. A abordagem é experimental e complementa, sem substituir, a orientação de correção já existente. A empresa publicou um PDF que associa cada CVE ao seu grupo.
O uso mais útil é operacional: se o seu parque não tem determinado componente, o grupo inteiro pode descer na fila. Se tem, o grupo vira um lote de testes coerente, com aplicações que dependem da mesma área do sistema.
Dúvidas que estão aparecendo
Por que o número é tão alto?
A Microsoft não explicou o volume recorde no anúncio. O pacote inclui componentes de código aberto que a empresa distribui, como kernel Linux, GnuTLS, Apache Thrift, BuildKit e CUPS, o que amplia a contagem.
Quem ainda usa Windows 11 24H2 Home ou Pro recebe essas correções?
Recebe as de outubro, que foram as últimas para essas edições. A partir de novembro, só versões suportadas. O Windows 11 23H2 Enterprise, Education e IoT Enterprise também deixa de receber correções no próximo mês.
Outros fornecedores também corrigiram falhas exploradas?
Sim. Citrix (NetScaler), Fortinet (FortiMail) e Ivanti (Connect Secure) corrigiram falhas exploradas como zero-day, e a Atlassian corrigiu uma falha crítica em Confluence, Jira e Bitbucket Data Center explorada depois da publicação de uma prova de conceito.
Se você é responsável pelo ambiente, então feche a semana assim
Se a CVE-2026-96951 ainda não está aplicada nas estações com acesso à internet, então esse é o item que não pode esperar o ciclo de testes completo. Se o seu ambiente usa WDAC como barreira principal, então trate o .NET Framework como prioridade equivalente. Se você mantém aplicações .NET, então rode a verificação de dependências antes da próxima publicação. E se o volume ameaça travar a janela de manutenção, então use os risk cohorts para cortar o que não existe no seu parque, sem confundir tamanho do grupo com gravidade.
