Patch Tuesday
Microsoft corrige mais de 1400 falhas em outubro, um recorde, e fecha uma já usada em ataques ao Windows
A falha explorada permite que um ficheiro enviado por email ou mensagem abra sem os avisos de segurança do Windows. Num só mês, a Microsoft corrigiu mais vulnerabilidades do que em todo o ano de 2025. Windows 11, Windows 10 com ESU e Office estão entre os produtos abrangidos.
A Microsoft publicou a 13 de outubro o pacote mensal de correções de segurança, o chamado Patch Tuesday, e bateu o próprio recorde. O BleepingComputer contou 1411 vulnerabilidades corrigidas nesse dia, sem incluir outras 348 resolvidas no início do mês em serviços como o Azure e o Exchange. O SecurityWeek, que cita a contagem da Microsoft, chega a 1413, das quais 1102 no Windows e 134 no Office. Segundo esta publicação, a empresa corrigiu num só mês mais falhas do que em todo o ano de 2025, um salto que atribui em grande parte ao uso de inteligência artificial para encontrar erros no código.
A falha que já está a ser usada
Das correções deste mês, 70 são classificadas como críticas, mas a mais urgente para quem usa o Windows em casa não está nesse grupo. Trata-se da CVE-2026-96951, uma falha na shell do Windows que a Microsoft marca como explorada em ataques reais, com uma pontuação de gravidade de 8,8 em 10. Permite contornar o Mark of the Web, a etiqueta que o Windows coloca nos ficheiros descarregados da internet. É essa etiqueta que faz o SmartScreen e a Vista Protegida do Office mostrarem avisos antes de abrir um ficheiro suspeito, explica o SecurityWeek.
No guia de atualizações de segurança, a Microsoft descreve o cenário provável: o atacante envia por email ou por mensagem instantânea um ficheiro preparado para explorar a falha. Não consegue obrigar ninguém a abri-lo, por isso precisa de convencer a vítima a clicar numa ligação ou num anexo. A empresa não revelou quem está por trás dos ataques nem quantas pessoas foram visadas. A falha foi comunicada por investigadores da Fujitsu, por um investigador da Anthropic e por um especialista independente.
Há mais duas vulnerabilidades que eram públicas antes de existir correção, ambas sem ataques conhecidos. Uma, no .NET Framework, permite contornar o controlo de aplicações do Windows Defender e foi descoberta por James Forshaw, do Project Zero da Google. A outra afeta o componente MessagePack-CSharp, usado no .NET e no Visual Studio, e pode deixar um serviço inoperacional.
O que deves fazer
No Windows 11, a correção chega pelas atualizações cumulativas do mês. Podes forçar a instalação em Definições, Windows Update, no botão para procurar atualizações, e reiniciar no fim. A versão 22H2 do Windows 10 também consta da lista de sistemas afetados pela falha explorada, mas a atualização KB5126657 só chega aos computadores inscritos nas Atualizações de Segurança Alargadas (ESU) e às edições LTSC, segundo o BleepingComputer. Um PC com Windows 10 fora desse programa fica sem esta correção.
Enquanto não atualizas, a regra prática é a do costume: desconfia de anexos e ligações inesperados, mesmo que venham de contactos conhecidos. Com esta falha, a ausência de aviso do Windows ao abrir um ficheiro não garante que seja seguro.
Para as empresas, a Microsoft estreou os chamados grupos de risco, que juntam vulnerabilidades semelhantes para ajudar a decidir o que corrigir primeiro, um método que ainda descreve como experimental. Para quem tem o Windows 11 24H2 nas edições Home ou Pro, este é o último pacote de correções: a Microsoft confirmou que o suporte dessas edições terminou a 13 de outubro.
