Microsoft libera 1.413 correções em outubro; falha do Windows Shell já é explorada

A Microsoft publicou 1.413 vulnerabilidades de produtos próprios em outubro, das quais 1.102 afetam o Windows — um Patch Tuesday de tamanho recorde e parte de uma tendência de 2026 de aumento no número de falhas.

Uma das falhas, CVE-2026-96951 no Windows Shell, foi confirmada como explorada em ataques reais. A vulnerabilidade pode contornar o Mark of the Web — o aviso que o sistema exibe sobre arquivos vindos da internet — quando um usuário abre um arquivo especialmente confeccionado ou visita um site controlado pelo atacante.

A empresa também corrigiu cinco falhas de execução remota de código no Outlook que podem ser acionadas simplesmente ao visualizar mensagens no painel de pré-visualização, o que significa que usuários podem ser comprometidos sem clicar em links ou abrir anexos.

Houve divulgação pública de CVE-2026-108398, uma brecha no .NET Framework que permite a um invasor com acesso pré-existente registrar um assembly .NET malicioso para contornar o Windows Defender Application Control (App Control for Business).

Movimentos simultâneos no ciclo de vida de produtos e lacunas na divulgação aumentam o risco: produtos mais antigos perderam o Extended Security Updates ou atingiram o fim do suporte, e notas de atualização do Edge chegaram a omitir temporariamente listagens específicas de CVE. Isso complica o planejamento de correções pelos defensores e pode forçar migrações de sistemas expostos.

Equipes de TI devem priorizar a instalação dos patches, avaliar sistemas que já não recebem atualizações e considerar mitigação ou migração imediata para reduzir o risco de ataques ativos.