A Microsoft lançou as atualizações de segurança de outubro de 2026 para corrigir 1.411 vulnerabilidades, o maior total mensal já anunciado pela empresa, segundo um relatório do BleepingComputer. O pacote inclui 70 vulnerabilidades classificadas como “críticas”, entre elas 57 falhas de execução remota de código, 11 falhas de elevação de privilégios e duas falhas de bypass de mecanismos de proteção.
As vulnerabilidades corrigidas nas atualizações da terça-feira foram distribuídas entre 677 falhas de elevação de privilégios, 317 falhas de execução remota de código, 254 falhas de divulgação de informações, 73 falhas de negação de serviço, 40 falhas de bypass de recursos de segurança e 28 falhas de spoofing.
Três falhas de dia zero
O pacote inclui três vulnerabilidades que a Microsoft classificou como falhas de dia zero. A vulnerabilidade CVE-2026-96951, no Windows Shell, estava sendo explorada ativamente e permite contornar o recurso Mark of the Web por meio da injeção de comandos. A Microsoft não divulgou detalhes sobre os grupos que a exploraram nem sobre a forma como os ataques foram executados.
Já a vulnerabilidade CVE-2026-108398, no .NET Framework, havia sido divulgada publicamente e permite que um invasor autenticado contorne as restrições do Windows Defender Application Control e execute código dentro de um processo protegido, sem necessidade de interação do usuário. A vulnerabilidade foi descoberta por James Forshaw, do Google Project Zero.
A Microsoft também corrigiu a vulnerabilidade CVE-2026-92707, no MessagePack-CSharp, uma falha de negação de serviço divulgada publicamente que pode ser explorada pela rede.
Fim do suporte a versões do Windows
A Microsoft anunciou no mesmo dia o fim do suporte ao Windows 11 versão 24H2 nas edições Home e Pro, além do Windows 10 Enterprise LTSB 2016. A atualização de outubro de 2026 é a última atualização de segurança para essas versões, o que torna a migração para versões compatíveis uma questão de segurança imediata para as organizações e os usuários afetados.
A empresa havia explicado anteriormente que as versões Windows 11 23H2 Enterprise, Education e IoT Enterprise deixariam de receber atualizações de segurança a partir do mês seguinte.
O que muda na prática para as equipes de segurança?
Com este lote, a Microsoft apresentou um método experimental para definir prioridades de correção, agrupando vulnerabilidades semelhantes em “grupos de risco”. A empresa publicou 15 grupos para outubro, incluindo 136 vulnerabilidades relacionadas a sistemas de arquivos, armazenamento e backup do Windows; 135 vulnerabilidades envolvendo documentos do Office e clientes de e-mail; 131 vulnerabilidades em gráficos, mídia e processamento de conteúdo; 109 vulnerabilidades que afetam limites de privilégios no kernel do Windows; e 103 vulnerabilidades relacionadas à instalação, implantação e aos serviços de atualização.
A Microsoft esclarece que esses grupos não significam automaticamente que as vulnerabilidades incluídas neles sejam as mais perigosas; o risco real depende da exploração em ataques, do nível de gravidade e da forma como a organização utiliza o produto. Portanto, o mecanismo continua sendo experimental e complementar às recomendações atuais de correção, e não um substituto para elas.
Escopo dos números
O número 1.411 limita-se às vulnerabilidades para as quais a Microsoft lançou correções na própria terça-feira. Ele não inclui outras 348 vulnerabilidades corrigidas pela empresa anteriormente em outubro em produtos e serviços como Azure API Center, Azure App Service, Azure Event Grid, Microsoft Exchange Server e Microsoft Partner Center.
O aumento do número não elimina a necessidade de definir prioridades: a vulnerabilidade explorada ativamente e as vulnerabilidades que afetam sistemas expostos ou com privilégios elevados merecem tratamento urgente antes que se tente lidar com a enorme lista de uma só vez. No entanto, o material não fornece detalhes completos sobre todos os produtos afetados nem sobre os cronogramas internos de implantação, o que torna necessário consultar os boletins da Microsoft e avaliar o ambiente de cada organização antes de definir a ordem de execução.