Microsoft corrige recorde de 570 falhas de segurança em julho de 2026, duas exploradas ativamente

A Microsoft lançou em 14 de julho as atualizações de segurança da Patch Tuesday de julho de 2026, corrigindo um recorde de 570 vulnerabilidades no Windows e em seu portfólio de produtos. A atualização inclui três falhas zero-day — duas delas sendo exploradas ativamente em ataques neste momento — tornando esta uma das Patch Tuesdays mais urgentes dos últimos tempos.

A escala da atualização de julho já é notável por si só. Na semana passada, a Microsoft anunciou um aumento no volume de patches, atribuindo-o a um novo sistema de descoberta de vulnerabilidades baseado em IA, que está encontrando falhas no código do Windows antes que os atacantes o façam. A ferramenta de IA já está dando frutos: a Patch Tuesday de junho cobriu 200 falhas, e julho quase triplica esse número.

As duas zero-days sob ataque ativo

As correções mais urgentes são duas falhas de elevação de privilégio confirmadas como exploradas em ataques reais:

• Active Directory Federation Services (AD FS): uma vulnerabilidade de controle de acesso insuficiente que permite que um atacante local autorizado eleve privilégios para administrador. A própria equipe DART (Detection and Response Team) da Microsoft — sua unidade de resposta a incidentes — descobriu a falha, o que geralmente indica que foi encontrada durante investigações ativas de violações.
• Microsoft SharePoint Server: uma falha de autenticação ausente que permite que um atacante remoto não autenticado eleve privilégios pela rede. Pesquisadores da equipe de Resposta a Incidentes da Mandiant e da equipe FLARE do Google Cloud co‑creditam a descoberta, novamente sugerindo que a falha foi identificada durante trabalhos reais de resposta a incidentes.

Uma terceira zero-day — um bypass no Windows BitLocker que exige acesso físico — foi divulgada publicamente, mas ainda não se sabe se está sendo explorada.

Escala da atualização

Das 570 vulnerabilidades corrigidas, 59 foram classificadas como Críticas. Dentro dessa categoria Crítica, 48 permitem execução remota de código, nove são bugs de elevação de privilégio e duas são, respectivamente, um bypass de segurança e um problema de spoofing. O total de 570 não inclui as 468 falhas do mecanismo Chromium que o Google corrigiu neste mês e que também aparecem no Microsoft Edge, nem as correções lançadas no início de julho para Azure OpenAI, M365 Copilot, Exchange Online ou Entra Provisioning Service.

O que os administradores precisam fazer

As zero-days do AD FS e do SharePoint estão ambas confirmadas como exploradas, portanto priorizar esses patches é inegociável para qualquer organização que execute um desses serviços. Para o SharePoint especificamente, a Microsoft oferece uma mitigação temporária: habilitar a Antimalware Scan Interface (AMSI) no servidor e configurar o Request Body Scan mode como Full pode reduzir a exposição até que o patch seja aplicado.

Usuários do Windows 10 recebem as correções via KB5099539, uma atualização de segurança estendida. Máquinas com Windows 11 as recebem via KB5101650 e KB5099414. Como sempre, administradores empresariais devem testar em ambiente de staging antes de uma implantação ampla, mas, dadas duas zero-days exploradas ativamente, a janela para deliberação é curta.

Como noticiado primeiro pelo BleepingComputer, esta é a maior Patch Tuesday já registrada. A tendência provavelmente continuará à medida que a varredura baseada em IA da Microsoft descobrir mais vulnerabilidades por conta própria — um benefício líquido para os defensores, mesmo que o ritmo de atualizações se torne mais exigente.