Patch Tuesday de Setembro de 2026: o maior da história da Microsoft
setembro 9, 2026

Patch Tuesday de Setembro de 2026: o maior da história da Microsoft

0

Hoje eu trouxe para vocês o artigo “Patch Tuesday de Setembro de 2026: o maior da história da Microsoft”. Acesse o site da Uni Academy (https://uniacademy.com.br/) e conheça todos os meus cursos. Não esqueça de me seguir no Instagram, conhecer meu Site, se inscrever no meu Canal do Youtube, deixar o seu like e compartilhar esse artigo, para fortalecermos a nossa comunidade. Um grande abraço e boa leitura.

 

Patch Tuesday de Setembro de 2026: o maior da história da Microsoft

Em 8 de setembro de 2026, a Microsoft publicou o maior Patch Tuesday já registrado, com aproximadamente 973 vulnerabilidades corrigidas, sendo 113 classificadas como críticas e 2 zero-days já explorados ativamente (CVE-2026-81963 e CVE-2026-85880). Mais importante do que o número recorde: o pacote traz falhas com CVSS 9.1, 9.9 e 10.0 em Microsoft Entra ID, Azure AD B2C, Copilot Studio, Microsoft Fabric e Azure AI Language— ou seja, no coração da identidade e da camada de IA do Microsoft 365.

 

O que aconteceu no Patch Tuesday de setembro de 2026?

O ciclo de atualizações de setembro quebrou todos os recordes anteriores da Microsoft. Para efeito de comparação, o Patch Tuesday de agosto de 2026 trouxe 421 vulnerabilidades e o de julho, 622. Setembro praticamente dobrou o volume do mês anterior.

Um ponto de atenção sobre os números: há divergência entre as principais fontes de mercado na contagem final. A Cisco Talos e a Automox contabilizaram 973 CVEs; a BleepingComputer, 966; a Rapid7, 974. A diferença vem do critério de corte — o que é considerado “publicado no Patch Tuesday” versus corrigido fora de banda no mesmo mês. A fonte de verdade continua sendo o Microsoft Security Update Guide (MSRC), e é nele que sua análise de risco deve se apoiar. Vale registrar ainda que o número headline não inclui outras 204 falhas corrigidas ao longo de setembro fora do ciclo mensal, em serviços como Azure, Copilot Studio, Entra ID, Microsoft Edge, Microsoft Fabric e Power Automate. O total real de correções do mês é consideravelmente maior.

 

Os dois zero-days sob exploração ativa

CVE-2026-81963 — Windows Update Stack Elevação de privilégio associada a resolução indevida de links antes do acesso ao arquivo (link following) combinada com controle de acesso impróprio. Permite que um atacante já autenticado eleve privilégios localmente até SYSTEM. O crédito é atribuído ao pesquisador Romain Deperne e ao Microsoft Threat Intelligence Center (MSTIC).

CVE-2026-85880 — Windows ALPC (Advanced Local Procedure Call) Elevação de privilégio associada a heap-based buffer overflow e uso de recurso não inicializado. Também leva a SYSTEM, entregando controle amplo sobre a máquina afetada.

A Microsoft confirmou a exploração em ambos os casos, mas não divulgou detalhes sobre as cadeias de ataque, os atores envolvidos ou os alvos. Para efeitos práticos, trate os dois como componentes de pós-comprometimento: eles não abrem a porta, mas transformam um acesso inicial qualquer — um phishing bem-sucedido, uma sessão roubada — em domínio completo do host.

 

O ponto cego: a superfície crítica migrou para a nuvem

Aqui está o ângulo que a maioria das análises de Patch Tuesday não desenvolve, e que é o que realmente importa para quem administra Microsoft 365.

Entre as vulnerabilidades críticas deste mês, um conjunto específico atinge diretamente serviços de identidade, automação e IA da plataforma Microsoft:

  • CVE-2026-83711 — Azure Active Directory B2C — CVSS 10.0. Elevação de privilégio por authorization bypass através de chave controlada pelo usuário. Nota máxima na escala.
  • CVE-2026-70352 — Azure AI Language — CVSS 10.0. Elevação de privilégio por ausência de autenticação em função crítica.
  • CVE-2026-83941 — Microsoft Entra ID — CVSS 9.9. Elevação de privilégio por autorização ausente.
  • CVE-2026-62916 — Microsoft Entra ID — CVSS 9.1. Elevação de privilégio por bypass de autenticação usando caminho ou canal alternativo.
  • CVE-2026-80098 — Copilot Studio — CVSS 9.3. Elevação de privilégio por verificação imprópria de assinatura criptográfica.
  • CVE-2026-70178 — Microsoft Fabric — CVSS 8.5. Elevação de privilégio por autorização ausente.
  • CVE-2026-65818 — Power Automate — CVSS 8.5. Elevação de privilégio via SSRF (Server-Side Request Forgery).
  • CVE-2026-69857 — Azure Cosmos DB — CVSS 8.5. Spoofing por bypass de autorização através de chave controlada pelo usuário, com exploração considerada “mais provável” pela Microsoft.

Repare no padrão que se repete: autorização ausente, bypass de autenticação, verificação de assinatura falha. Não são estouros de buffer em drivers legados. São falhas de lógica de controle de acesso no plano de identidade e nos serviços de IA da nuvem — exatamente as camadas onde o administrador de Microsoft 365 tem menos visibilidade e, historicamente, menos processo definido.

E há uma diferença operacional decisiva: essas correções são aplicadas pela Microsoft do lado do serviço. Você não “instala” o patch do Entra ID. O que resta ao seu time é a parte que ninguém faz com disciplina: revisar o que aconteceu na janela de exposição. Se uma falha de autorização em Entra ID esteve disponível, a pergunta certa não é “já corrigiram?”, e sim “houve concessão de permissão, criação de aplicação ou consentimento anômalo no período?”.

 

Microsoft 365 no endpoint: Outlook, Word, Excel e PowerPoint

O pacote de aplicativos também recebeu correções relevantes de execução remota de código, com destaque para dois casos de CVSS 9.8:

  • CVE-2026-78509 — Microsoft Outlook — CVSS 9.8. RCE por heap-based buffer overflow.
  • CVE-2026-78510 — Microsoft Word — CVSS 9.8. RCE por heap-based buffer overflow.
  • Outlook ainda recebeu CVE-2026-78525 e CVE-2026-78519 (ambas CVSS 8.8, use after free e uso de recurso não inicializado) e CVE-2026-78520 (6.5).
  • Word: CVE-2026-81952 (8.8) e CVE-2026-77504 (8.8, double free).
  • Excel: CVE-2026-81948, CVE-2026-81950, CVE-2026-81951, CVE-2026-81953 e CVE-2026-81959 — todas RCE com CVSS 7.8.
  • PowerPoint: CVE-2026-69797, CVE-2026-69767 e CVE-2026-69678 — todas use after free, CVSS 8.8.
  • Microsoft Office (componente base): CVE-2026-69632, CVE-2026-69285 e CVE-2026-78505 (8.8) e CVE-2026-77898 (7.5).

Traduzindo para risco de negócio: o vetor de entrada continua sendo o documento e o e-mail. Um anexo malicioso explorando uma dessas falhas dá o acesso inicial; os zero-days de elevação de privilégio dão o SYSTEM. A cadeia completa está publicada neste mesmo Patch Tuesday.

 

ShieldCrash: a PoC contra o Microsoft Defender (informação não confirmada)

Aproximadamente duas horas após a liberação dos patches, um pesquisador identificado como MSNightmare divulgou uma prova de conceito batizada de ShieldCrash, alegando que a correção da vulnerabilidade ShieldBreak (CVE-2026-69414) teria ficado incompleta. Segundo a alegação, restaria um caminho não corrigido permitindo leitura de arquivos em nível SYSTEM, com potencial de conversão em escalação completa de privilégios.

Status: alegação de terceiro, divulgada publicamente e reportada pela CrowdStrike, sem confirmação ou advisory da Microsoft até o momento desta publicação. Não trate como fato consumado, mas coloque em monitoramento — se confirmada, muda a postura de confiança sobre a própria camada de proteção do endpoint.

 

Plano de ação: como priorizar 973 CVEs sem paralisar a operação

Nenhuma organização remedia mil vulnerabilidades em uma janela. O que separa maturidade de pânico é o critério de priorização. Esta é a sequência que recomendo:

1. Zero-days primeiro, independentemente da severidade nominal. CVE-2026-81963 e CVE-2026-85880. Exploração ativa confirmada supera qualquer pontuação CVSS. Janela emergencial.

2. Superfície exposta à internet. Entre as críticas do mês há RCEs não autenticadas alcançáveis pela rede em serviços de infraestrutura como DNS, DHCP, MSMQ, NFS e SSTP VPN, várias com CVSS 9.8. Se algum desses serviços está publicado, ele vem antes do parque de estações.

3. Revisão de identidade e nuvem — não é patch, é investigação. Para Entra ID, Azure AD B2C, Copilot Studio, Fabric e Power Automate, a correção já foi aplicada pela Microsoft. Seu trabalho é auditar a janela de exposição: consentimentos de aplicativos, atribuições de função privilegiada, criação de service principals, alterações em políticas de Acesso Condicional e uso anômalo de conectores no Power Platform. Use o Microsoft Purview Audit e as tabelas de advanced hunting do Defender XDR.

4. Office e Outlook no ciclo padrão acelerado. As RCEs de 9.8 em Outlook e Word justificam antecipar o anel de implantação. Enquanto o patch não chega a 100% do parque, reforce Safe Attachments e Safe Links no Defender for Office 365 e valide se o Protected View está sendo respeitado por política.

5. Documente a decisão de não remediar. Para tudo que ficar fora da janela, registre a exceção com justificativa, compensação e prazo. Auditoria não pergunta o que você corrigiu; pergunta como você decidiu.

 

O que esse recorde realmente significa

O salto de 421 para 973 CVEs em um mês não indica que o software da Microsoft piorou. Indica que a capacidade de descoberta mudou de patamar, com aplicação de sistemas agênticos de varredura sobre a base de código. A tendência é que volumes altos deixem de ser exceção e virem o novo normal.

A consequência operacional é direta e vale mais do que qualquer manchete: o modelo de gestão de vulnerabilidades baseado em “corrigir tudo” está oficialmente morto. O que passa a diferenciar organizações é a qualidade do critério de priorização — exploração ativa, exposição real, criticidade do ativo e caminho de ataque — e a existência de um processo de revisão para a camada de nuvem, onde o patch não é seu, mas o risco continua sendo.

Se você administra Microsoft 365 e ainda não tem um ritual mensal que vai além de aprovar updates no Intune, setembro de 2026 é o mês que deixou isso impossível de ignorar.

Próximo Patch Tuesday: 13 de outubro de 2026.

 

Perguntas frequentes

Quantas vulnerabilidades a Microsoft corrigiu no Patch Tuesday de setembro de 2026? Aproximadamente 973 CVEs, com 113 classificadas como críticas. A contagem varia entre 966 e 974 conforme a fonte e o critério de corte adotado. É o maior Patch Tuesday da história da Microsoft, superando o recorde anterior de julho de 2026.

Quais são os zero-days explorados ativamente em setembro de 2026? CVE-2026-81963, elevação de privilégio no Windows Update Stack, e CVE-2026-85880, elevação de privilégio no Windows ALPC. Ambas com CVSS 7.8 e ambas permitindo obtenção de privilégios SYSTEM localmente.

O Microsoft 365 foi afetado? Sim, em duas frentes. Nos aplicativos, com RCEs de CVSS 9.8 em Outlook e Word, além de falhas em Excel, PowerPoint e no componente base do Office. Na nuvem, com elevações de privilégio críticas em Entra ID (CVSS 9.9 e 9.1), Azure AD B2C (10.0), Copilot Studio (9.3), Microsoft Fabric (8.5) e Power Automate (8.5).

Preciso fazer algo em relação às falhas de Entra ID e Copilot Studio? A correção do serviço é responsabilidade da Microsoft e já foi aplicada. A ação do cliente é investigativa: auditar a janela de exposição em busca de concessões de permissão, consentimentos de aplicativos, criação de service principals e alterações de função privilegiada que possam ter ocorrido antes da correção.

Por que corrigir zero-days de severidade “Important” antes das críticas? Porque a classificação de severidade mede impacto teórico, enquanto a exploração ativa mede risco real e presente. Uma falha “Important” já usada em ataques tem probabilidade de exploração igual a 100%. Uma crítica sem exploração conhecida, não.

O que é o ShieldCrash? Uma prova de conceito divulgada publicamente por um pesquisador independente, alegando que a correção da vulnerabilidade ShieldBreak (CVE-2026-69414) no Microsoft Defender teria sido incompleta. A alegação não foi confirmada pela Microsoft e deve ser tratada como informação em monitoramento, não como fato estabelecido.

 

Sobre o autor

Wellington Agápto é Arquiteto de Cloud Security na Vivo (Telefônica), Linkedin Top Voice de Segurança da informação, Premiado como MVP da Microsoft, MCT (Microsoft Certified Trainer), possui mais de 30 certificações ao longo da carreira, Professor, Palestrante, Mentor, formado em Teologia, graduado em Gestão da Tecnologia da informação e Análise de sistemas, possui MBA em Cibersegurança e Gestão de Riscos. Reconhecido como Microsoft 365 Expert e Cyber Security Evangelist, Youtuber com + de 100 mil inscritos, empreendedor e produtor Black da Hotmart, Fundador da Uni Academy tendo capacitado mais de 14 mil profissionais de T.I. Autor do livro os 5 passos para tornar-se um profissional de T.I de sucesso.

 

Acesso Black!

Todos os meus Cursos em um único lugar.

Clique AQUI e se torne um aluno Black.

 

Cursos preparatórios para Certificações

Escolha umas das certificações a seguir e seja aprovado em até 4 semanas:

 

Cursos de Especialização

Clique AQUI e garanta a sua Vaga!

Windows 365 Flex e o fim das promoções do Microsoft 365 E7: o que muda no seu licenciamento em setembro de 2026
Previews Post