A Microsoft lançou um lote extenso de atualizações projetado para remediar mais de 1.400 vulnerabilidades de segurança dentro de seus sistemas operacionais Windows e softwares associados. Esta versão representa uma escalada significativa no volume de correções, superando em muito o recorde estabelecido apenas no mês passado, em setembro, que incluiu quase 1.000 correções. O número de setembro já era aproximadamente dez vezes maior que a carga mensal típica de Redmond, tornando esta atualização de outubro um evento sem precedentes em termos de escala.
Entre os milhares de falhas abordadas, uma vulnerabilidade é classificada como "zero-day", indicando que já foi explorada na natureza. Identificada como CVE-2026-96951, essa falha de contorno de recurso de segurança afeta sistemas Windows 10 e 11, juntamente com certas versões do Servidor. Além disso, pelo menos 78 das falhas corrigidas este mês são classificadas como "críticas". Essas vulnerabilidades críticas podem ser exploradas com pouca ou nenhuma interação do usuário, permitindo frequentemente que os atacantes executem código arbitrário em sistemas vulneráveis.
Outra questão notável envolve um contorno de recurso de segurança no .NET Framework (CVE-2026-108398). Embora a Microsoft tenha afirmado que não há sinais atuais de exploração ativa, essa vulnerabilidade foi divulgada publicamente antes do lançamento de hoje. Essa divulgação antecipada potencialmente forneceu aos atacantes tempo avançado para desenvolver métodos para explorar o bug antes que a correção ficasse disponível.
O volume puro de correções chamou a atenção dos especialistas em segurança. Satnam Narang, da Tenable, observou que a contagem deste mês supera em muito o recorde anterior estabelecido em 2020, quando a Microsoft corrigiu 1.261 CVEs. Narang destacou que, com dois meses restantes no ano, o número total de vulnerabilidades abordadas já ultrapassou a marca de 4.000. A Microsoft atribui esse alto volume de descoberta de bugs ao uso de modelos de linguagem grandes, que também se presume terem auxiliado na geração de muitas das correções.
Apesar da escala da atualização, os especialistas alertam que essas rajadas de correções incomumente grandes colocam uma pressão significativa sobre as equipes de segurança corporativa. As organizações frequentemente devem testar atualizações individuais antes de implantá-las em redes para garantir que as correções não interrompam outros softwares. Tyler Reguly, diretor associado de pesquisa e desenvolvimento de segurança na Fortra, apontou que apenas 26 vulnerabilidades da Microsoft apareceram no catálogo "Known Exploited Vulnerabilities" (Vulnerabilidades Exploradas Conhecidas) da Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) até agora este ano. Ele aconselhou os líderes de segurança a priorizar a correção dessas 26 vulnerabilidades específicas primeiro, focando no risco explorável e avaliando se suas equipes têm a clareza e a capacidade necessárias para agir.
Para organizações que buscam identificar quais vulnerabilidades requerem maior escrutínio, recursos como o Cisco Talos e o SANS Internet Storm Center publicaram resumos indexando as falhas por gravidade, número CVE e software afetado.
Fontes: Krebs on Security.