Microsoft corrige 974 falhas e dois zero-days explorados ativamente
A Microsoft lançou, na terça-feira, 8 de setembro de 2026, o pacote mensal de atualizações de segurança com o maior volume de correções já divulgado pela empresa. Ao todo, foram corrigidas 974 vulnerabilidades em produtos como Windows, Office, Azure, SQL Server, Exchange Server e Skype for Business.
O boletim também inclui duas falhas classificadas como zero-day – vulnerabilidades desconhecidas ou ainda sem correção disponível quando começaram a ser exploradas. Segundo a Microsoft, ambas já estavam sendo utilizadas em ataques antes da liberação das atualizações.
O número de correções supera amplamente os pacotes publicados nos meses anteriores. Em julho, a companhia havia corrigido 570 falhas; em agosto, foram 400. O volume registrado em setembro representa, portanto, um salto significativo e exige atenção imediata de equipes de tecnologia, administradores de rede e responsáveis por segurança corporativa.
Duas vulnerabilidades já usadas em ataques
A primeira falha explorada está relacionada à pilha de atualização do Windows. Classificada como uma vulnerabilidade de elevação de privilégios, ela permite que um invasor já autenticado aumente seu nível de acesso até obter privilégios de SYSTEM, uma das permissões mais elevadas disponíveis no sistema operacional.
Na prática, esse tipo de brecha pode ser utilizado depois que o criminoso consegue invadir uma conta ou executar algum código com permissões limitadas. A partir daí, o atacante pode tentar assumir o controle de processos, desativar mecanismos de proteção, instalar ferramentas maliciosas ou acessar informações protegidas.
A segunda vulnerabilidade está no Advanced Local Procedure Call, conhecido pela sigla ALPC. Esse componente permite a comunicação entre processos do Windows e, quando explorado, também pode levar à obtenção de privilégios SYSTEM.
Até o momento da divulgação do pacote, a Microsoft não apresentou informações detalhadas sobre os ataques que utilizaram as duas falhas. A empresa também não especificou quais grupos ou campanhas estariam por trás da exploração. Ainda assim, o fato de os problemas já terem sido usados ativamente aumenta a prioridade da instalação das atualizações.
Distribuição das falhas corrigidas
As 974 vulnerabilidades abrangem diferentes categorias de risco. A maior parte corresponde a falhas de elevação de privilégios, com 438 casos identificados. Esse tipo de problema permite que um usuário ou processo com acesso restrito obtenha permissões superiores às autorizadas.
Também foram corrigidas:
– 258 vulnerabilidades de execução remota de código;
– 173 falhas de divulgação de informações;
– 56 problemas de negação de serviço;
– 19 vulnerabilidades de burla de recursos de segurança;
– 16 falhas de falsificação.
As vulnerabilidades de execução remota de código estão entre as mais preocupantes, pois podem permitir que um invasor execute comandos em um dispositivo afetado sem precisar estar fisicamente diante dele. Dependendo do produto e do contexto, uma falha desse tipo pode resultar em instalação de malware, movimentação lateral na rede ou roubo de dados.
Mais de cem falhas críticas
Do total divulgado, 105 vulnerabilidades foram classificadas como críticas. Entre elas, 81 estão relacionadas à execução remota de código, 20 envolvem elevação de privilégios, duas dizem respeito à divulgação de informações e uma afeta mecanismos de segurança.
A classificação “crítica” indica que o impacto potencial é elevado, especialmente quando a exploração pode ocorrer remotamente, sem autenticação ou com pouca interação do usuário. Entretanto, vulnerabilidades consideradas importantes também não devem ser ignoradas, principalmente em ambientes corporativos conectados à internet.
Sistemas que precisam ser atualizados
O pacote de setembro alcança uma ampla variedade de produtos e serviços da Microsoft. Entre os principais estão as diferentes versões do Windows, aplicativos do Office, serviços de nuvem do Azure, bancos de dados SQL Server, servidores Exchange e soluções do Skype for Business.
Organizações que utilizam esses sistemas devem começar o processo pela identificação dos ativos mais expostos. Servidores acessíveis pela internet, controladores de domínio, estações de trabalho com acesso a dados sensíveis e equipamentos utilizados por administradores merecem prioridade.
Antes de aplicar as correções em larga escala, é recomendável realizar testes em um grupo controlado de dispositivos. Essa etapa ajuda a detectar incompatibilidades com aplicações internas, drivers ou políticas corporativas, reduzindo o risco de interrupções operacionais.
Como reduzir o risco durante a atualização
Enquanto a aplicação dos patches não for concluída, as empresas podem adotar medidas adicionais para limitar a exposição. Restringir o uso de contas administrativas, habilitar autenticação multifator e bloquear serviços desnecessários são ações que dificultam a exploração das falhas.
Também é importante manter soluções de proteção ativas, revisar registros de eventos e monitorar comportamentos anormais, como criação inesperada de contas privilegiadas, execução de processos incomuns e alterações em serviços do Windows.
A segmentação de rede é outra medida relevante. Se um dispositivo for comprometido, ambientes separados podem impedir que o invasor avance facilmente para servidores, sistemas financeiros ou bases de dados.
A importância do gerenciamento de patches
O pacote recorde reforça que o gerenciamento de atualizações deve fazer parte de uma rotina permanente de segurança, e não apenas de uma ação emergencial após a publicação de um boletim. Inventários precisos, classificação de ativos e definição de prazos ajudam as organizações a reagir com mais rapidez.
Empresas também devem estabelecer critérios para priorizar correções. Vulnerabilidades exploradas ativamente, falhas críticas e problemas presentes em sistemas expostos à internet normalmente devem ser tratadas antes de outros itens.
Depois da instalação, é necessário confirmar se os patches foram aplicados corretamente. Relatórios de conformidade, ferramentas de gerenciamento centralizado e verificações automatizadas podem indicar quais equipamentos continuam vulneráveis.
Usuários domésticos também devem agir
Embora o impacto seja especialmente relevante para empresas, usuários comuns também precisam atualizar computadores e aplicativos da Microsoft. A instalação pode ser feita por meio do Windows Update ou dos mecanismos oficiais de atualização disponíveis no sistema.
É aconselhável reiniciar o computador quando solicitado e evitar adiar indefinidamente as atualizações. Manter navegador, pacote Office e ferramentas de segurança atualizados reduz as chances de exploração por arquivos maliciosos, páginas comprometidas e campanhas de phishing.
Com duas vulnerabilidades zero-day já exploradas e quase mil falhas corrigidas, o boletim de setembro de 2026 deve ser tratado como uma atualização de alta prioridade. A aplicação rápida das correções, combinada com monitoramento e boas práticas de controle de acesso, é essencial para reduzir o risco de invasões e comprometimentos mais graves.