Patch Tuesday de outubro da Microsoft corrige recorde de mais de 1.400 falhas

A Microsoft lançou suas atualizações de segurança de outubro de 2026 em 13 de outubro, corrigindo mais de 1.400 vulnerabilidades. É um recorde para um único Patch Tuesday, o dia mensal em que a Microsoft distribui suas correções. Uma falha do Windows Shell, identificada como CVE-2026-96951, já está sendo usada em ataques. Para desenvolvedores, a lista também inclui bugs críticos no PowerShell, no OpenSSH for Windows e no Visual Studio Code.

Quantas falhas, exatamente

Os rastreadores que contabilizam cada lançamento não concordam sobre o total. A diferença vem de como cada um delimita o que entra no lançamento.

Fonte	Total	Observação
BleepingComputer	1.411	Deixa de fora 348 falhas corrigidas no início de outubro
CrowdStrike	1.413	75 classificadas como críticas
Tenable	1.413	Conta os produtos da própria Microsoft; 1.102 no Windows
Zero Day Initiative	1.415	Chama de o primeiro mês com quatro dígitos

O BleepingComputer conta 70 falhas críticas. Por tipo, ele e a CrowdStrike listam 677 bugs de elevação de privilégio, que permitem a um invasor obter mais direitos em uma máquina. Eles também listam 317 bugs de execução remota de código, que permitem a um invasor executar o próprio código.

Por que tantas? O BleepingComputer diz que a Microsoft continua usando plataformas de IA para encontrar e corrigir vulnerabilidades. Dustin Childs, da Zero Day Initiative, diz que a IA está acelerando a descoberta de bugs tanto para defensores quanto para atacantes. “Mais um mês de patches é igual a mais um novo recorde de patches da Microsoft”, escreveu ele.

A Microsoft também separou as falhas em 15 “grupos de risco” (“risk cohorts”, em inglês). Ela diz que os grupos não mostram quais falhas são mais perigosas.

A falha que atacantes já estão usando

A CVE-2026-96951 é um desvio de recurso de segurança no Windows Shell. Ela anula o Mark of the Web, a marca que o Windows adiciona a arquivos baixados da internet. É essa marca que dispara os avisos antes que um arquivo baixado seja aberto.

A Microsoft descreve o bug como injeção de comando e confirma que a falha está sendo explorada. A Zero Day Initiative e a CrowdStrike dão a ela nota 8,8 de 10. Nenhum dos relatórios diz quem a está usando.

A Tenable observa que o Windows Server 2012 R2 recebe uma correção, mas o Windows Server 2012 não.

Duas falhas divulgadas antes da correção

Outros dois bugs foram divulgados publicamente antes de a Microsoft lançar um patch:

• CVE-2026-108398, .NET Framework, nota 8,8. Ela permite que um invasor que já está autenticado contorne o App Control for Windows, que limita qual código pode ser executado. A Microsoft diz que o invasor planta um assembly .NET manipulado e o registra para ser carregado em um processo protegido.
• CVE-2026-92707, MessagePack-CSharp, nota 5,3. É um bug de negação de serviço em uma biblioteca de terceiros que empacota dados em um formato binário compacto. Um terceiro a publicou, e a Microsoft a incluiu em sua atualização.

Bugs críticos que desenvolvedores devem notar

Várias falhas críticas estão em ferramentas que desenvolvedores usam todos os dias:

Falha	Componente	Nota de gravidade
CVE-2026-83578	PowerShell, execução remota de código	9,8
CVE-2026-97816	OpenSSH for Windows, execução remota de código	9,8
CVE-2026-102238	Visual Studio Code, execução remota de código	9,6
CVE-2026-100219, CVE-2026-105016	Protocolo de rede QUIC, execução remota de código	9,8
CVE-2026-70571	Exchange Server, execução remota de código	8,1

A Zero Day Initiative classifica o bug do Exchange como wormable, ou seja, ele poderia se espalhar de máquina para máquina sem ajuda. A classificação da própria Microsoft, citada pela Tenable, é “Exploitation More Likely” (exploração mais provável). A Tenable também aponta cinco bugs do Outlook que podem ser acionados pelo painel de visualização.

Versões que deixam de receber atualizações

Este lançamento é o último para alguns softwares mais antigos, segundo o BleepingComputer e a Tenable:

• Windows 11 24H2 Home e Pro chegam ao fim do suporte. Falamos sobre a mudança para o 26H2 no início deste mês.
• Windows 10 Enterprise LTSB 2016 recebe sua última atualização.
• Windows Server 2012 e 2012 R2 encerram o terceiro ano das Extended Security Updates pagas em 14 de outubro, segundo a Tenable.
• Office 2021 é aposentado em 14 de outubro, e o Exchange Server 2016 e 2019 passam ao status “no ESU” (sem ESU) a partir de 15 de outubro.

O que isso significa para desenvolvedores

• Aplique os patches primeiro nas máquinas de desenvolvimento. PowerShell, OpenSSH e VS Code têm correções críticas. Servidores de build e notebooks que os executam são alvos valiosos.
• Atualize o MessagePack-CSharp. Verifique suas dependências do NuGet em busca do MessagePack e passe para a versão corrigida indicada no comunicado de segurança.
• Tenha cuidado com arquivos baixados até aplicar o patch. A falha explorada desativa o aviso que normalmente protege você deles.
• Saia do Windows 11 24H2 Home e Pro. Essas edições não recebem mais correções depois deste mês.
• Prepare-se para meses com mais patches. Adam Barnett, da Tenable, espera que os volumes continuem crescendo. Automatize a forma como você classifica e testa atualizações, em vez de revisar cada uma manualmente.