Patch Tuesday de outubro de 2026: 1.413 CVEs, 1 vulnerabilidade zero-day explorada

A versão de outubro de 2026 da Microsoft do Patch Tuesday corrige 1.413 CVEs da Microsoft, estabelecendo um novo recorde apenas um mês depois do máximo anterior de 974 em setembro. Isso representa aproximadamente um aumento de 45% em relação ao mês anterior. A versão abrange o Windows, aplicações Microsoft 365 e Office, SharePoint Server, SQL Server, Exchange Server, Azure, Defender e ferramentas de desenvolvimento. A Microsoft também está a republicar um CVE não pertencente à Microsoft.

Uma vulnerabilidade já está a ser ativamente explorada: CVE-2026-96951, um contorno de uma funcionalidade de segurança no Windows Shell. Uma segunda, CVE-2026-108398 no .NET Framework, foi divulgada publicamente, pelo que os detalhes técnicos já estão disponíveis, embora a Microsoft ainda não tenha observado ataques. Ambas estão classificadas como Importantes, o que reforça por que motivo o estado de exploração deve ter prioridade em relação apenas aos níveis de gravidade.

Com mais de 1.400 CVEs da Microsoft para avaliar, as equipas de TI precisam de uma implementação baseada no risco que comece pelas vulnerabilidades que os atacantes têm maior probabilidade de explorar e pelos sistemas em que uma violação causaria mais danos.

Análise das correções da Microsoft para outubro de 2026

Dos 1.408 CVEs com classificações de gravidade, a Microsoft classificou 78 como Críticos, 1.329 como Importantes e 1 como Moderado. Todos os 1.408 requerem ação do cliente sob a forma da instalação de uma atualização.

A elevação de privilégios e a execução remota de código representam cerca de 70% da publicação:

As falhas de elevação de privilégios podem transformar um acesso limitado em controlo total de um sistema, e as falhas de execução remota de código podem fornecer esse acesso inicial. Com quase 1.000 destes dois tipos numa única versão, as equipas de TI precisam de saber quais os sistemas afetados que estão expostos e quais detêm acesso privilegiado.

Onde as vulnerabilidades se concentram

O Windows representa mais de três quartos dos CVEs deste mês. O Office e o SharePoint Server, em conjunto, acrescentam mais 170, e as ferramentas de desenvolvimento representam 61 em 60 atualizações separadas.

Os números publicados pela Microsoft para esta versão diferem ligeiramente: as notas de versão indicam 1.413 CVEs, a discriminação por família de produtos totaliza 1.414 e a lista de CVEs publicada contém 1.411. Esta publicação usa 1,413, o valor indicado nas notas de versão da Microsoft.

Uma vulnerabilidade zero-day explorada e uma vulnerabilidade divulgada publicamente

A Microsoft assinalou dois CVE com designações especiais de explorabilidade este mês. Ambas são vulnerabilidades de contorno de funcionalidades de segurança classificadas como Importantes.

As vulnerabilidades de contorno de funcionalidades de segurança raramente completam um ataque por si só. Normalmente funcionam em conjunto com outra falha, como execução remota de código ou elevação de privilégios, removendo uma proteção que, de outra forma, bloquearia ou avisaria sobre o passo seguinte. Aplicar correções fecha uma etapa que os atacantes poderão já estar a utilizar.

A CVE-2026-96951 deve ser corrigida primeiro em todos os endpoints Windows, independentemente da sua classificação como Important. Com a Mark of the Web contornada, um ficheiro malicioso enviado por e-mail ou chat pode abrir sem os avisos que os utilizadores normalmente veem. O utilizador continua a ter de abrir o ficheiro, por isso esta falha combina-se naturalmente com phishing e com as vulnerabilidades baseadas em ficheiros abordadas mais à frente nesta publicação.

A CVE-2026-108398 não foi explorada, mas, como foi divulgada publicamente, os detalhes técnicos já estão disponíveis. Isso aumenta a probabilidade de exploração. Um atacante precisa primeiro de uma conta no sistema, por isso esta atualização é especialmente importante para organizações que dependem do Windows Defender Application Control ou de allowlisting semelhante para conter um intruso que já tenha conseguido estabelecer-se.

Nenhum dos CVE aparece no catálogo Known Exploited Vulnerabilities da CISA à data da publicação. Muitas vezes, são acrescentados no espaço de poucos dias após uma designação como esta, por isso consulte o catálogo ao planear a sua implementação.

Vulnerabilidades críticas a priorizar de seguida

A Microsoft classificou 78 vulnerabilidades como Críticas este mês. Sessenta e cinco são vulnerabilidades de execução remota de código, e as 13 restantes são de elevação de privilégios ou falsificação. Em vez de as tratar como um único grupo, defina prioridades com base na infraestrutura afetada, no respetivo nível de exposição e no que uma violação colocaria em risco.

Windows DHCP e serviços de rede expostos

Cinco vulnerabilidades críticas de execução remota de código afetam o Windows DHCP Server:

• CVE-2026-96934

• CVE-2026-88117

• CVE-2026-88120

• CVE-2026-88119

• CVE-2026-88171

O DHCP Server é normalmente acessível através de segmentos de rede internos, o que o torna um ponto de pivô frequente para comprometer toda a rede. A versão inclui também uma vulnerabilidade Crítica de execução remota de código no DHCP Client (CVE-2026-70250).

Vários outros serviços expostos à rede apresentam vulnerabilidades críticas de execução remota de código este mês:

O QUIC é a base do HTTP/3 e de outros transportes de rede, pelo que estas falhas são mais relevantes em cargas de trabalho do Windows Server expostas à internet. O Remote Desktop Gateway está na periferia de muitas implementações de acesso remoto. Identifique onde estes serviços estão ativados e coloque os sistemas acessíveis externamente no topo da fila.

Infraestrutura de identidade e certificados

As vulnerabilidades críticas também afetam os serviços que controlam a autenticação, a federação e a inscrição de certificados:

Cada um aparece apenas uma vez na publicação, mas cada um afeta um alvo de elevado valor. Um controlador de domínio ou serviço de inscrição de certificados comprometido pode dar a um atacante alcance sobre todo o ambiente. A falsificação de AD FS pode comprometer a confiança no início de sessão único federado de que muitas organizações dependem. Os controladores de domínio, os servidores AD FS e os servidores NDES devem estar entre os primeiros servidores avaliados após a exploração da vulnerabilidade de dia zero.

Exchange Server e infraestrutura de implementação

Exchange Server (CVE-2026-70571) e Windows Deployment Services (CVE-2026-88174) têm, cada um, uma vulnerabilidade Crítica de execução remota de código. O SharePoint Server tem uma vulnerabilidade Crítica de elevação de privilégios (CVE-2026-102866).

O Exchange e o SharePoint armazenam frequentemente dados empresariais sensíveis e ligam-se a outros recursos internos. Os Deployment Services podem afetar todos os endpoints que deles dependem para criação de imagens ou aprovisionamento. Dê prioridade às implementações com exposição externa ou acesso a dados de elevado valor.

Hyper-V e VBS Enclave

As atualizações deste mês incluem execução de código ao nível do anfitrião no Hyper-V e falhas críticas de elevação de privilégios no Windows Virtualization-Based Security (VBS) Enclave e em componentes centrais do kernel.

Os anfitriões Hyper-V suportam frequentemente cargas de trabalho de produção com requisitos rigorosos de disponibilidade. Use testes faseados e janelas de manutenção coordenadas quando uma implementação imediata puder interromper serviços, mas não deixe que essas janelas atrasem durante muito tempo as correções ao nível do anfitrião.

Aplicações Microsoft 365 e Office

As aplicações do Office representam 34 das vulnerabilidades críticas de execução remota de código deste mês:

O Excel destaca-se, com uma concentração invulgarmente elevada de falhas críticas numa única aplicação. Os documentos maliciosos continuam a ser um dos caminhos mais comuns, impulsionados por phishing, para entrar nos ambientes dos utilizadores. Esse risco é maior este mês porque o bypass explorado de Mark of the Web pode remover os avisos que os utilizadores normalmente veriam em ficheiros transferidos. O Visio surge muitas vezes mais abaixo nas listas de prioridade de aplicação de patches do que o Word, o Excel ou o Outlook, mas acarreta o mesmo risco baseado em documentos.

Multimédia, gráficos e controladores de impressora

Dez vulnerabilidades críticas de execução remota de código afetam componentes de multimédia, gráficos e renderização de documentos, incluindo Media Foundation, GDI+, Codecs, Windows PDF, Text Shaping e Raw Image Extension (CVE-2026-96202 e CVE-2026-96943). Estas podem ser acionadas ao abrir uma imagem, vídeo, tipo de letra ou PDF especialmente concebidos, sem macros nem scripting.

O controlador de impressora PostScript também tem três vulnerabilidades críticas de execução remota de código: CVE-2026-70153, CVE-2026-70147 e CVE-2026-108467. Os controladores de impressora estão amplamente implementados e são fáceis de ignorar nos ciclos de aplicação de patches, por isso confirme que estão abrangidos pela mesma implementação que o resto da versão.

Como priorizar os patches de outubro de 2026

Não existe um prazo fixo que se adeque a todos os ambientes. Use estes níveis como ponto de partida e, depois, ajuste-os em função da exposição, do impacto no negócio e dos requisitos de testes.

Aplicar patch no prazo de 72 horas

• CVE-2026-96951 (Windows Shell) em todos os endpoints Windows, seguido de CVE-2026-108398 (.NET Framework)

• Servidor DHCP e Cliente DHCP do Windows

• Remote Desktop Gateway, NDES e Active Directory Domain Services

• Microsoft QUIC em cargas de trabalho do Windows Server expostas à internet

• Exchange Server e SQL Server, começando pelos sistemas acessíveis externamente ou pelos sistemas que alojam dados sensíveis

• Hosts Hyper-V

• Qualquer CVE posteriormente adicionado ao catálogo KEV da CISA ou assinalado como Exploitation More Likely

Aplicar patch no prazo de 1 a 2 semanas

• Aplicações do Office, começando pelo Excel, depois Outlook, PowerPoint, Word e Visio

• Vulnerabilidades de elevação de privilégios no Kernel e no VBS Enclave

• Componentes de multimédia, gráficos e processamento de documentos, além do PostScript Printer Driver

• Visual Studio, Visual Studio Code e .NET em estações de trabalho de programadores

• Vulnerabilidades de elevação de privilégios do Azure e Entra

A exposição deve ainda assim sobrepor-se ao prazo predefinido. Os utilizadores que abrem habitualmente documentos externos poderão precisar das atualizações do Office mais cedo.

Ciclo regular de patches

• Vulnerabilidades importantes de elevação de privilégios e divulgação de informação em componentes com exposição limitada

• Problemas de acesso apenas local e de controladores de dispositivos em sistemas com acesso físico restrito

• Sistemas não expostos à internet com controlos compensatórios implementados

Atualizações notáveis de terceiros

Este mês, a Microsoft está a republicar apenas um CVE não pertencente à Microsoft, abaixo dos 25 de setembro: CVE-2026-21413, uma vulnerabilidade de execução remota de código na Raw Image Extension atribuída à Cisco Talos. Afeta o mesmo componente que as duas falhas críticas da Raw Image Extension pertencentes à Microsoft abordadas acima (CVE-2026-96202 e CVE-2026-96943), pelo que as três podem ser tratadas como um único esforço de remediação.

O Microsoft Edge não incluiu novos CVEs nesta publicação. As equipas devem ainda confirmar as atualizações do browser, das ferramentas de desenvolvimento e das aplicações de terceiros de acordo com os seus próprios calendários e mantê-las no mesmo fluxo de trabalho de gestão de vulnerabilidades que as atualizações do sistema operativo. Processos separados podem deixar pontos cegos, mesmo quando a aplicação de patches do Windows está em dia.

Porque é que a Patch Tuesday de outubro é importante para as equipas de TI

A versão de outubro levanta duas questões operacionais que vão além de qualquer CVE individual.

1. O volume de registos torna a triagem manual irrealista

Este é o segundo lançamento recordista consecutivo, e o salto de 974 para 1.413 CVEs num único mês deixa pouca margem para revisão manual. As equipas precisam de saber rapidamente que dispositivos executam software afetado, que vulnerabilidades estão a ser exploradas e que sistemas suportam identidade, acesso remoto ou cargas de trabalho críticas. Isso depende de um inventário preciso de hardware e software.

A Microsoft também está a responder ao volume. Com esta versão, introduziu grupos de risco, uma forma experimental de agrupar CVEs relacionados em torno de questões de exposição partilhadas, como quais os sistemas que processam ficheiros não fidedignos. A Microsoft observa que os grupos não classificam o perigo, pelo que o estado de exploração e a exposição devem continuar a definir a ordem de trabalho.

2. Alguns sistemas acabaram de receber a sua última atualização de segurança

A atualização de outubro é a atualização de segurança final para o Windows 11 versão 24H2 Home e Pro e para o Windows 10 Enterprise LTSB 2016. O Windows 11 versão 23H2 Enterprise, Education e IoT Enterprise chega ao fim das atualizações em novembro. Os dispositivos que executam estas edições deixam de receber correções após a respetiva data de fim, independentemente da rapidez com que uma equipa aplique patches. Identifique-os agora e planeie as atualizações, porque a correção zero-day deste mês pode ser a última proteção que recebem.

Como o Splashtop AEM pode ajudar a priorizar e implementar patches

Uma publicação com 1.413 CVEs e um zero-day explorado dá às equipas de TI duas tarefas: encontrar o que importa no seu ambiente e implementar rapidamente as atualizações certas. Splashtop AEM (Autonomous Endpoint Management) trata de ambas a partir de uma consola centralizada.

• Encontrar dispositivos expostos: O Splashtop AEM analisa continuamente endpoints Windows e macOS à procura de CVEs, incluindo vulnerabilidades no catálogo Known Exploited Vulnerabilities da CISA, juntamente com o estado dos patches e o inventário de hardware e software.

• Dar prioridade ao que os atacantes estão a usar: Resumos de CVE com tecnologia de IA e sinais de risco ajudam as equipas a antecipar vulnerabilidades como a CVE-2026-96951 em relação ao resto da versão.

• Implemente e verifique mais rapidamente: Aplicação de patches em tempo real ao SO e a aplicações de terceiros, políticas automatizadas, janelas de manutenção e anéis de atualização permitem às equipas testar primeiro as atualizações do Office ou do servidor num grupo mais pequeno de dispositivos. As equipas podem depois alargar a implementação e acompanhar que instalações foram concluídas com êxito ou falharam.

• Reforce os fluxos de trabalho existentes: Splashtop AEM pode melhorar o Microsoft Intune ao adicionar aplicação de patches em tempo real, visibilidade de CVE e remediação. As equipas que utilizam um RMM podem usá-lo para colmatar lacunas na visibilidade e automatização da gestão de patches.

Mantenha-se à frente do volume recorde da Patch Tuesday com o Splashtop AEM

A atualização de outubro mostra quão rapidamente a gestão de patches se torna um problema de triagem. Com 1.413 CVEs e um zero-day explorado pelo meio, as equipas de TI precisam de encontrar os dispositivos expostos, implementar primeiro as atualizações mais urgentes e confirmar que todos os endpoints estão abrangidos.

Inicie uma avaliação gratuita do Splashtop AEM para ver que endpoints estão vulneráveis, priorizar atualizações de alto risco e implementar patches mais rapidamente.