Microsoft corrige recorde de 1.411 falhas no Patch Tuesday de outubro de 2026, incluindo zero-day do Windows Shell sob exploração ativa

A Microsoft lançou em 13 de outubro de 2026 as atualizações de segurança do Patch Tuesday de outubro, corrigindo um número recorde de 1.411 vulnerabilidades no Windows, Azure e .NET — o maior lançamento mensal de segurança da história da empresa. A atualização inclui três vulnerabilidades zero-day, uma das quais já está sendo ativamente explorada em ataques reais.

A escala desta publicação reflete uma mudança deliberada na forma como a Microsoft detecta bugs. A empresa atribuiu o aumento ao uso expandido de ferramentas de varredura de vulnerabilidades com suporte de IA, que permitem identificar muito mais falhas de segurança antes que os atacantes as encontrem.

A zero-day ativamente explorada, identificada como CVE-2026-96951, é um bypass de segurança no Windows Shell que permite aos atacantes contornar a proteção Mark of the Web (MotW). O MotW é o mecanismo que o Windows usa para sinalizar arquivos baixados da internet como potencialmente inseguros. Ao explorar esse bypass, os atacantes podem executar arquivos baixados sem acionar avisos, tornando-o uma ferramenta eficaz em campanhas de phishing e distribuição de malware. A Microsoft não divulgou como a vulnerabilidade está sendo explorada nem quem a descobriu.

As outras duas zero-day foram divulgadas publicamente antes de os patches estarem disponíveis, embora nenhuma tenha sido explorada até o momento. A CVE-2026-108398, descoberta pelo pesquisador do Google Project Zero James Forshaw, permite a um atacante contornar o Windows Defender Application Control (WDAC) e executar código não autorizado em um processo protegido. A terceira, CVE-2026-92707, é uma falha de denial-of-service de severidade moderada no MessagePack-CSharp, uma biblioteca de serialização .NET amplamente utilizada.

Entre as 70 vulnerabilidades críticas corrigidas neste mês, as mais notáveis incluem: uma falha de remote code execution no Windows Active Directory Domain Services (CVE-2026-70229), duas vulnerabilidades de spoofing no Active Directory Federation Services, um bug de RCE no Azure App Service (CVE-2026-77900) e uma falha de elevation of privilege no Linux Kernel no Azure (CVE-2026-62840).

As equipes de segurança devem priorizar a aplicação do patch para CVE-2026-96951 imediatamente devido à exploração ativa. Organizações que dependem do WDAC como perímetro de segurança devem tratar CVE-2026-108398 como urgente. Cargas de trabalho hospedadas no Azure devem avaliar os patches do App Service e Event Grid para quaisquer serviços expostos à internet.

Conforme reportado pelo BleepingComputer, a contagem de outubro exclui 348 vulnerabilidades que a Microsoft corrigiu fora do Patch Tuesday no início do mês, elevando o total real de falhas resolvidas em outubro para cerca de 1.759.