Microsoft corrige 974 falhas e dois zero-days explorados ativamente
A Microsoft publicou em 8 de setembro de 2026 o pacote mensal de segurança com o maior volume de correções já divulgado pela empresa. Ao todo, a atualização elimina 974 vulnerabilidades em produtos como Windows, Office, Azure, SQL Server, Exchange Server e Skype for Business. Entre os problemas resolvidos estão dois zero-days que já eram utilizados em ataques antes da distribuição dos patches.
O número supera com ampla margem os pacotes lançados nos meses anteriores: em julho, a Microsoft corrigiu 570 falhas, enquanto a atualização de agosto contemplou cerca de 400 vulnerabilidades. A dimensão do boletim de setembro exige atenção especial de equipes de tecnologia, administradores de rede e responsáveis por segurança corporativa.
Dois zero-days estavam sendo explorados
As duas falhas exploradas ativamente estão relacionadas ao Windows e podem permitir que invasores ampliem seus privilégios no sistema operacional.
A primeira vulnerabilidade afeta a pilha de atualização do Windows. Um invasor que já tenha acesso autorizado ao equipamento pode explorá-la para obter privilégios de SYSTEM, o nível mais elevado disponível no sistema. Com esse tipo de acesso, torna-se possível instalar programas, alterar configurações, criar contas, acessar arquivos e desativar mecanismos de proteção.
A segunda falha está localizada no Advanced Local Procedure Call (ALPC), componente responsável pela comunicação entre processos do Windows. Também classificado como um problema de elevação de privilégios, o erro permite que um atacante avance de uma conta com permissões limitadas para o nível SYSTEM.
A Microsoft confirmou que ambos os zero-days estavam sendo explorados, mas não apresentou detalhes sobre os grupos responsáveis pelos ataques, os alvos ou as técnicas utilizadas. A ausência dessas informações não reduz a gravidade dos problemas, já que a exploração ativa indica que códigos ou métodos funcionais já estavam circulando entre criminosos.
Distribuição das vulnerabilidades
O pacote de setembro reúne falhas de diferentes categorias. A maior parte corresponde a problemas de elevação de privilégios, que somam 438 ocorrências. Em seguida aparecem:
– 258 vulnerabilidades de execução remota de código;
– 173 falhas de divulgação de informações;
– 56 problemas de negação de serviço;
– 19 vulnerabilidades de burla de recursos de segurança;
– 16 falhas de falsificação.
Entre os 974 problemas corrigidos, 105 receberam a classificação de críticos. Esse grupo inclui 81 vulnerabilidades de execução remota de código, 20 falhas de elevação de privilégios, duas de divulgação de informações e uma relacionada à evasão de mecanismos de segurança.
As falhas de execução remota de código merecem prioridade porque podem permitir que um invasor execute comandos no computador afetado sem precisar estar fisicamente diante dele. Dependendo do produto e da configuração do ambiente, um ataque pode começar por um arquivo malicioso, uma mensagem especialmente criada ou um serviço exposto à internet.
Por que a atualização deve ser tratada como prioridade
Instalar correções de segurança não é apenas uma medida preventiva. No caso dos dois zero-days, trata-se de uma resposta a ameaças que já estavam ocorrendo. Sistemas sem atualização podem continuar vulneráveis mesmo quando contam com antivírus, firewall e outras camadas de proteção.
A exploração de falhas de elevação de privilégios costuma ocorrer depois que o atacante obtém uma primeira forma de acesso, por exemplo, por meio de phishing, credenciais roubadas ou software vulnerável. A partir daí, o criminoso tenta assumir controle mais amplo do dispositivo e alcançar outros sistemas da organização.
Por esse motivo, empresas não devem limitar a aplicação do pacote aos computadores considerados mais importantes. Estações de trabalho, servidores, máquinas virtuais e equipamentos usados remotamente podem servir como ponto inicial ou como caminho para a movimentação lateral dentro da rede.
Como organizar a aplicação dos patches
O primeiro passo é identificar quais produtos Microsoft estão instalados no ambiente e quais versões estão em uso. Inventários desatualizados podem fazer com que servidores ou computadores permaneçam fora do ciclo de correção.
Em seguida, a equipe de TI deve priorizar:
1. sistemas conectados diretamente à internet;
2. equipamentos usados por administradores;
3. servidores de autenticação e arquivos;
4. computadores com acesso privilegiado;
5. ambientes que executam serviços críticos;
6. dispositivos utilizados por funcionários em trabalho remoto.
Antes da instalação em larga escala, recomenda-se testar os patches em um grupo controlado de máquinas. Esse procedimento ajuda a detectar incompatibilidades com aplicativos corporativos, drivers ou políticas internas. No entanto, o período de testes precisa ser curto, principalmente porque existem vulnerabilidades exploradas ativamente.
Medidas complementares de proteção
Enquanto a atualização não é concluída, as organizações podem reduzir o risco aplicando controles adicionais. Entre as medidas estão a restrição de privilégios administrativos, a segmentação da rede, o bloqueio de serviços desnecessários e o reforço da autenticação multifator.
Também é importante monitorar eventos relacionados à criação de novas contas, alterações em grupos administrativos, execução de processos incomuns e tentativas de acesso fora do padrão. Ferramentas de detecção e resposta podem ajudar a identificar sinais de comprometimento antes que o invasor consiga ampliar sua presença.
A revisão de backups é outra etapa essencial. Cópias isoladas, protegidas contra alterações e testadas regularmente permitem recuperar dados caso a exploração das falhas resulte em ransomware ou sabotagem. Ter backup não elimina a necessidade de aplicar os patches, mas reduz o impacto de um possível incidente.
Atenção a ambientes híbridos e serviços em nuvem
A atualização também alcança produtos e serviços ligados ao ecossistema corporativo da Microsoft. Em ambientes híbridos, a equipe deve verificar separadamente computadores locais, servidores, serviços sincronizados e componentes administrados por provedores de nuvem.
Nem todas as correções exigem a mesma intervenção. Algumas são aplicadas automaticamente pelo fornecedor, enquanto outras dependem de atualizações manuais, mudanças de configuração ou reinicialização dos sistemas. Documentar cada etapa evita lacunas e facilita auditorias posteriores.
Após a instalação, é recomendável confirmar se os dispositivos realmente receberam as correções e se não houve falhas no processo. Relatórios de conformidade devem registrar máquinas pendentes, versões instaladas e eventuais exceções aprovadas pela gestão.
A importância do monitoramento após a atualização
O trabalho não termina quando o patch é instalado. Como os dois zero-days já foram explorados, equipes de segurança devem procurar indicadores de comprometimento anteriores à correção. Isso inclui processos executados com privilégios incomuns, modificações suspeitas no sistema, conexões externas desconhecidas e alterações inesperadas em tarefas agendadas.
Caso sejam encontrados sinais de invasão, o equipamento deve ser isolado e submetido a uma análise forense. A simples aplicação do patch não remove necessariamente ferramentas maliciosas ou alterações feitas durante o período de exposição.
O boletim de setembro reforça uma tendência importante: grandes pacotes de correções podem concentrar centenas de problemas diferentes, mas a prioridade deve ser definida pelo risco real. Vulnerabilidades exploradas ativamente, falhas críticas e sistemas expostos precisam receber tratamento imediato, com acompanhamento técnico até que todo o ambiente esteja protegido.