Patch Tuesday de novembro de 2026: 1.094 CVEs, 1 zero-day explorado

A edição de novembro de 2026 do Patch Tuesday da Microsoft aborda 1.094 CVEs da Microsoft. Isto representa uma descida face ao recorde de 1.413 de outubro, mas continua a ser a segunda maior edição do Patch Tuesday até à data, à frente das 974 de setembro. A edição abrange Windows, Microsoft 365 e aplicações Office, SQL Server, SharePoint Server, Exchange Server, Azure, Defender e ferramentas para programadores. A Microsoft também está a republicar 165 CVEs que não são da Microsoft.

Uma vulnerabilidade já está a ser explorada ativamente: CVE-2026-124194, uma falha de falsificação no Microsoft Outlook. A Microsoft classifica-a como Moderate, e nenhum CVE desta versão foi divulgado publicamente antes da correção. Pelo terceiro mês consecutivo, a vulnerabilidade que os atacantes estão realmente a usar tem uma classificação inferior a Critical, pelo que o estado de exploração deve definir a ordem de trabalho.

Com mais de 1.000 CVEs da Microsoft para avaliar, as equipas de TI precisam de uma implementação baseada no risco que comece pelas vulnerabilidades que os atacantes estão a usar e pelos sistemas em que uma violação causaria mais danos. Este artigo aborda onde as vulnerabilidades se concentram, como funciona o zero-day do Outlook e onde a sua correção é disponibilizada, quais as vulnerabilidades Critical a tratar de seguida e como sequenciar a implementação.

Análise das patches da Microsoft de novembro de 2026

Das 1.093 CVEs com classificações de gravidade, a Microsoft classificou 63 como Críticas, 1.029 como Importantes e 1 como Moderada.

A elevação de privilégios e a execução remota de código representam cerca de 76% desta divulgação:

As falhas de execução remota de código podem dar a um atacante acesso inicial, e as falhas de elevação de privilégios podem transformar esse acesso limitado em controlo total de um sistema. Com mais de 800 destes dois tipos numa única versão, as equipas de TI precisam de saber que sistemas afetados estão expostos e quais detêm acesso privilegiado.

Onde as vulnerabilidades se concentram

O Windows representa cerca de dois terços dos CVEs deste mês. O Office e o SharePoint Server acrescentam mais 201, o que mantém o risco baseado em documentos numa posição elevada da lista.

Os números publicados pela Microsoft para esta versão diferem ligeiramente: as notas de versão e a discriminação por família de produtos indicam 1.094 CVEs, enquanto as classificações de gravidade abrangem 1.093. Esta publicação usa 1.094, o número indicado nas notas de versão da Microsoft.

Um zero-day explorado no Outlook

A Microsoft assinalou uma CVE como explorada este mês. É a única vulnerabilidade com classificação Moderate em toda a versão.

Um atacante não autenticado envia um ficheiro de mensagem especialmente concebido e faz com que o destinatário o abra no Outlook. Ao abrir o ficheiro, o Outlook liga-se a uma localização de rede controlada pelo atacante sem mostrar o aviso habitual de conteúdo externo. Essa ligação pode expor o hash NTLMv2 do utilizador, que um atacante pode usar para se fazer passar pelo utilizador em ataques subsequentes.

O utilizador tem de abrir o ficheiro, e o Painel de Pré-visualização não é um vetor de ataque. A Microsoft não partilhou quem está por detrás dos ataques nem quão generalizados eles estão. Moderada está um nível acima da classificação mais baixa da Microsoft, mas esta é a CVE deste lançamento que os atacantes estão confirmadamente a usar, por isso aplique primeiro a correção em todos os dispositivos com Outlook.

A correção é disponibilizada nas atualizações de segurança do Microsoft 365 Apps e do Office LTSC 2021 e 2024. Não faz parte da atualização cumulativa do Windows (KB5132061), pelo que as organizações que implementam apenas atualizações do Windows permanecem expostas até que a atualização do Office seja instalada.

A CISA adicionou a CVE-2026-124194 ao seu catálogo de Vulnerabilidades Conhecidas Exploradas em 10 de novembro de 2026, com uma data-limite de correção de 24 de novembro de 2026 para as agências federais.

Vulnerabilidades críticas a priorizar de seguida

A Microsoft classificou 63 vulnerabilidades como Críticas este mês: 48 de execução remota de código e 15 de elevação de privilégios. Em vez de as tratar como um único grupo, defina prioridades com base na infraestrutura afetada, no grau de exposição e no que uma violação colocaria em risco.

Serviços de identidade, diretório e autenticação

Os controladores de domínio e os protocolos que protegem a autenticação dão a um atacante alcance sobre todo o ambiente. A falha do Active Directory Domain Services (CVSS 8.8) requer um atacante autenticado, enquanto a falha do Schannel (CVSS 8.1) pode ser explorada por um atacante não autenticado através da rede. A Microsoft avaliou ambas como de exploração mais provável.

Exchange, IIS e servidores de implementação

Exchange Server (CVE-2026-118207), Internet Information Services (CVE-2026-119961) e Windows Deployment Services (CVE-2026-119951) têm, cada um, uma vulnerabilidade crítica de execução remota de código. A falha no Exchange tem uma pontuação CVSS de 8.8 e é avaliada como exploração mais provável.

Estes servidores estão frequentemente expostos à internet ou abrangem todos os endpoints que dependem deles para correio eletrónico, serviços web ou aprovisionamento. O SharePoint Server também merece atenção: a CVE-2026-120002 está classificada como Important, mas tem uma pontuação CVSS de 9.9, outro caso em que o nível de severidade subestima o risco.

Serviços Windows expostos à rede

Todas estas são vulnerabilidades de execução remota de código em serviços que escutam na rede. Identifique onde o Message Queuing e os outros serviços afetados estão ativados e mova os sistemas acessíveis externamente para o início da fila. A falha de NAT (CVSS 8.1) é avaliada como de exploração mais provável.

Escalada de privilégios no Hyper-V e no Windows

O Windows Hyper-V tem oito vulnerabilidades Critical de elevação de privilégios este mês:

• CVE-2026-113753

• CVE-2026-113856

• CVE-2026-113860

• CVE-2026-113861

• CVE-2026-113864

• CVE-2026-113865

• CVE-2026-119947

• CVE-2026-119960

O Graphics Kernel (CVE-2026-119966 e CVE-2026-125137) e os Remote Desktop Services (CVE-2026-119957) também têm falhas Críticas de elevação de privilégios. Em conjunto com uma vulnerabilidade de acesso inicial, estas podem dar a um atacante controlo ao nível de SYSTEM.

Os anfitriões Hyper-V executam frequentemente muitas cargas de trabalho de produção, pelo que uma falha ao nível do anfitrião coloca em risco todos os convidados nele alojados. Use testes faseados e janelas de manutenção coordenadas quando uma implementação imediata puder interromper serviços, mas mantenha essas janelas curtas.

Aplicações Microsoft 365 e Office

As aplicações do Office representam 22 das vulnerabilidades críticas de execução remota de código deste mês:

O Excel volta a concentrar o maior número de falhas Críticas numa única aplicação. Os documentos maliciosos continuam a ser uma das formas mais comuns de entrar nos ambientes dos utilizadores. As três falhas Críticas do Outlook (CVE-2026-110043, CVE-2026-110068 e CVE-2026-111309) não estão assinaladas como exploradas. São distribuídas através do mesmo canal de atualização do Office que a correção de zero-day, pelo que uma única implementação do Office pode resolver ambas.

Componentes de ficheiros, multimédia e pesquisa

Vulnerabilidades críticas de execução remota de código também afetam Graphic Fonts (CVE-2026-119969), a Windows Codecs Library (CVE-2026-113749), Raw Image Extension (CVE-2026-114169), o Windows Search (CVE-2026-116928) e os componentes do Print Spooler (CVE-2026-113752).

As falhas de tipo de letra, codec, imagem e pesquisa podem ser acionadas por conteúdo criado para esse fim, o que as coloca ao alcance em endpoints do dia a dia. O Print Spooler é executado na maioria dos dispositivos Windows e é fácil de ignorar nos ciclos de aplicação de patches, por isso confirme que está incluído na mesma implementação que o resto da versão.

Azure e serviços de segurança

O Azure OpenAI (CVE-2026-119990) e o Azure Managed Grafana (CVE-2026-114160) têm, cada um, uma vulnerabilidade Crítica de elevação de privilégios, e o Microsoft Defender tem uma vulnerabilidade Crítica de execução remota de código (CVE-2026-122194). Os serviços cloud e as ferramentas de segurança precisam da mesma verificação que os sistemas no local, e uma falha num produto de segurança é, por si só, um alvo de elevado valor.

Como dar prioridade às patches de novembro de 2026

Não existe um prazo fixo que se adeque a todos os ambientes. Use estes níveis como ponto de partida e, depois, ajuste-os em função da exposição, do impacto no negócio e dos requisitos de testes.

Aplicar patch no prazo de 72 horas

• CVE-2026-124194, através das atualizações do Microsoft 365 Apps e do Office LTSC, em todos os dispositivos com Outlook

• Active Directory Domain Services, LDAP, Schannel e CredSSP em controladores de domínio e servidores de autenticação

• Exchange Server e IIS, começando pelos sistemas expostos à internet

• Message Queuing, servidor SMB, TCP/IP e NAT em sistemas onde esses serviços estão acessíveis

• Hosts Hyper-V

• Google Chrome CVE-2026-125350, abordado na secção de terceiros abaixo

• Qualquer CVE posteriormente adicionado ao catálogo KEV da CISA ou assinalado como Exploração Mais Provável

Aplicar patch no prazo de 1 a 2 semanas

• Restantes vulnerabilidades críticas do Office, começando pelo Excel, depois Word, Outlook e PowerPoint. A Microsoft lista as atualizações do Office como cumulativas, exceto para o Office 2016, pelo que a implementação da vulnerabilidade de dia zero já inclui a maioria destas correções no Microsoft 365 Apps e no Office LTSC. Confirme o Office 2016 separadamente.

• Tipos de letra gráficos, biblioteca de codecs, extensão de imagem RAW, Windows Search e componentes do Print Spooler

• Vulnerabilidades de elevação de privilégios no Graphics Kernel, nos Remote Desktop Services e no TPM

• SharePoint Server, incluindo a CVE-2026-120002

• Azure OpenAI, Azure Managed Grafana e Microsoft Defender

• Visual Studio, Visual Studio Code e .NET em estações de trabalho de programadores

• servidores Adobe Connect e Adobe Experience Manager

A exposição deve ainda assim sobrepor-se ao prazo predefinido. Os utilizadores que abrem regularmente ficheiros externos podem precisar de atualizações do Office mais cedo.

Ciclo regular de patches

• Vulnerabilidades de elevação de privilégios e divulgação de informações classificadas como importantes em componentes com exposição limitada

• Problemas de acesso apenas local e de controladores de dispositivos em sistemas com acesso físico restrito

• Sistemas não expostos à internet com controlos compensatórios implementados

Atualizações notáveis de terceiros

Vários outros fornecedores lançaram correções de segurança na mesma semana, incluindo mais um zero-day explorado.

zero-day do Google Chrome

A Google corrigiu a CVE-2026-125350, uma vulnerabilidade use-after-free de alta gravidade no componente XML do Chrome que está a ser explorada ativamente. A correção está incluída no Chrome 157.0.8103.50/.51 para Windows e Mac e no Extended Stable 156.0.8078.96, e a mesma atualização corrige outras oito vulnerabilidades. A CISA adicionou a CVE-2026-125350 ao catálogo KEV em 10 de novembro, no mesmo dia da falha no Outlook.

O Chrome transfere atualizações em segundo plano, mas aplica-as apenas após reiniciar, por isso confirme as versões instaladas em vez do estado da transferência. Outros navegadores baseados em Chromium partilham o mesmo código do motor, por isso esteja atento também às atualizações desses fornecedores.

Adobe

A Adobe lançou correções para cerca de 110 vulnerabilidades em nove produtos: Adobe Experience Manager, Adobe Connect, Photoshop, Premiere, After Effects, Audition, Media Encoder, Dimension e o Content Credentials SDK. Foram corrigidas vulnerabilidades Critical no Adobe Connect e no Adobe Experience Manager, incluindo seis falhas no Adobe Connect com uma pontuação CVSS de 10. A Adobe afirma não ter conhecimento de qualquer exploração.

O Adobe ColdFusion 2021 também atinge o fim do suporte alargado a 10 de novembro de 2026, de acordo com a cronologia de suporte da Adobe. A sua última atualização foi lançada em dezembro de 2025, pelo que todos os servidores ColdFusion 2021 ainda restantes precisam de um plano de atualização.

CVEs não Microsoft republicados

A Microsoft está a republicar 165 CVEs não Microsoft este mês, face a uma em outubro. Em conjunto com as versões do Chrome e da Adobe, isto relembra a importância de manter os navegadores, as ferramentas criativas e as aplicações de servidor no mesmo fluxo de trabalho de gestão de vulnerabilidades que o Windows e o Office. Processos separados podem deixar lacunas mesmo quando a aplicação de patches do SO está atualizada.

Porque é que a Patch Tuesday de novembro é importante para as equipas de TI

A versão de novembro levanta três questões operacionais que vão além de qualquer CVE individual.

1. As correções chegam através de mais do que um canal de atualização

A única vulnerabilidade da Microsoft explorada este mês é corrigida na atualização do Office, o zero-day do Chrome exige reiniciar o browser, e a Adobe lança atualizações no seu próprio calendário. Um processo baseado apenas no Windows Update pode indicar que um dispositivo está atualizado enquanto continua exposto.

As equipas precisam do estado dos patches para cada aplicação, bem como para cada compilação do SO, juntamente com uma visão clara de quais os dispositivos que ainda não têm as atualizações mais importantes deste mês.

2. Windows 11 23H2 Enterprise and Education chegam ao fim das atualizações

A Microsoft afirma que a atualização de novembro (KB5131087) é a última atualização de segurança para o Windows 11 versão 23H2 Enterprise e Education. O Windows 11 versão 24H2 Home e Pro já atingiu o fim das atualizações em outubro, e os dispositivos comerciais com Windows 10 22H2 precisam de uma licença Extended Security Updates Year 2 para receber as correções deste mês.

Os dispositivos com estas edições deixam de receber correções após a respetiva data limite, por mais rapidamente que uma equipa aplique patches. Identifique-os agora e planeie as atualizações. A Microsoft também afirmou que não haverá atualização de pré-visualização não relacionada com segurança em dezembro de 2026, embora a atualização de segurança de dezembro continue prevista para a Patch Tuesday.

3. As alterações de reforço da segurança podem precisar de testes

Com esta atualização, os clientes Windows 11 oferecem assinatura de mensagens NTLM por predefinição para ligações não anónimas, o que ajuda a reduzir ataques de retransmissão NTLM. É uma alteração oportuna num mês em que o zero-day explorado visa hashes NTLMv2.

O PowerShell aplica agora verificações de codificação mais rigorosas a scripts assinados, pelo que scripts com codificação UTF-8 inválida podem falhar a validação da assinatura, mesmo que anteriormente funcionassem. A orientação da Microsoft é guardar esses scripts como UTF-8 com uma marca de ordem de bytes e assiná-los novamente. Teste scripts de automação assinados num pequeno grupo de dispositivos antes de uma implementação alargada.

Como o Splashtop AEM pode ajudar a priorizar e implementar patches

Uma versão com 1.094 CVEs e um zero-day explorado dá às equipas de TI duas tarefas: identificar o que é relevante no seu ambiente e implementar rapidamente as atualizações certas. Splashtop AEM (Autonomous Endpoint Management) trata de ambas a partir de uma consola centralizada.

• Encontrar dispositivos expostos: O Splashtop AEM analisa continuamente terminais Windows e macOS à procura de CVEs, incluindo vulnerabilidades no catálogo Known Exploited Vulnerabilities da CISA, juntamente com o estado dos patches e o inventário de hardware e software. As equipas podem ver quais os terminais que continuam expostos à medida que as atualizações são implementadas.

• Dê prioridade ao que os atacantes estão a usar: resumos de CVE com tecnologia de IA e sinais de risco, incluindo pontuações EPSS e estado KEV, ajudam as equipas a colocar as vulnerabilidades exploradas à frente do resto de uma publicação com mais de 1.000 CVEs.

• Implemente e verifique mais rapidamente: A aplicação de patches ao OS e a aplicações de terceiros em tempo real, políticas automatizadas, janelas de manutenção, controlos de reinício e anéis de atualização permitem às equipas testar primeiro atualizações de servidores ou do Hyper-V num grupo mais pequeno de dispositivos. As equipas podem então alargar a implementação e acompanhar quais as instalações que foram bem-sucedidas, falharam ou sofreram atrasos.

• Reforce os fluxos de trabalho existentes: O Splashtop AEM pode melhorar o Microsoft Intune ao adicionar aplicação de patches em tempo real, visibilidade de CVE e remediação. As equipas que utilizam um RMM podem usá-lo para colmatar lacunas na visibilidade e automatização da gestão de patches.

Encontre e corrija endpoints expostos mais rapidamente com Splashtop AEM

A versão de novembro é mais pequena do que a de outubro, mas continua a ser a segunda maior Patch Tuesday até à data, e a sua única vulnerabilidade da Microsoft explorada foi corrigida fora da atualização do Windows. As equipas de TI precisam de ver que endpoints estão expostos em todos os canais de atualização, implementar primeiro as correções mais urgentes e confirmar cada instalação.

Inicie uma avaliação gratuita do Splashtop AEM para ver que endpoints estão vulneráveis, priorizar atualizações de alto risco e implementar patches mais rapidamente.