Hoje é a terça-feira de patches da Microsoft de outubro de 2026. As correções de segurança abordam um número recorde de 1.411 falhas, incluindo uma vulnerabilidade explorada ativamente e duas vulnerabilidades zero-day divulgadas publicamente.
A atualização deste mês corrige 70 vulnerabilidades classificadas como “Críticas”: 57 permitem execução remota de código, 11 possibilitam elevação de privilégios e duas permitem falsificação.
A seguir, a quantidade aproximada de falhas em cada categoria:
- 677 vulnerabilidades de elevação de privilégios
- 40 vulnerabilidades de contorno de recursos de segurança
- 317 vulnerabilidades de execução remota de código
- 254 vulnerabilidades de divulgação de informações
- 73 vulnerabilidades de negação de serviço
- 28 vulnerabilidades de falsificação
Nas reportagens sobre o Patch Tuesday, o BleepingComputer contabiliza apenas as vulnerabilidades divulgadas pela Microsoft no próprio dia.
Por isso, o total de hoje não inclui 348 falhas corrigidas no início do mês, entre elas vulnerabilidades no Azure API Center, Azure App Service, Azure Event Grid, Azure SRE Agent, Mariner, Microsoft Bookings, Microsoft Dataverse, Microsoft Exchange Server e Microsoft Partner Center.
Esta é uma edição recorde do Patch Tuesday da Microsoft, que continua usando plataformas de inteligência artificial para encontrar e corrigir vulnerabilidades de segurança em seus produtos.
A Microsoft anunciou hoje que o Windows 11, versão 24H2 Home e Pro, e o Windows 10 Enterprise LTSB 2016 chegaram ao fim do suporte.
“Hoje, 13 de outubro de 2026, o Windows 11, versão 24H2 Home e Pro, e o Windows 10 Enterprise LTSB 2016 chegaram ao fim das atualizações. A atualização mensal de segurança de outubro de 2026 é a última disponível para essas edições”, informou a empresa.
No início deste mês, a Microsoft também recomendou que organizações que usam as edições Enterprise, Education e IoT Enterprise do Windows 11 23H2 migrem para versões mais recentes. Essas edições deixarão de receber atualizações de segurança a partir do próximo mês.
As atualizações cumulativas KB5127648 e KB5126653 do Windows 11 e a atualização de segurança estendida KB5126657 do Windows 10 também foram lançadas hoje.
O Patch Tuesday deste mês corrige uma vulnerabilidade zero-day explorada ativamente e duas divulgadas publicamente.
A Microsoft classifica uma vulnerabilidade zero-day como divulgada publicamente ou explorada ativamente quando ainda não há uma correção oficial disponível.
A vulnerabilidade zero-day explorada ativamente e corrigida neste Patch Tuesday de outubro de 2026 é:
**
CVE-2026-96951
, vulnerabilidade de contorno de recurso de segurança no Windows Shell**
A Microsoft corrigiu uma vulnerabilidade zero-day de contorno de segurança explorada ativamente, que permitia contornar o recurso de segurança Mark of the Web.
“A neutralização inadequada de elementos especiais usados em um comando, conhecida como injeção de comandos, no Windows Shell permite que um invasor não autorizado contorne um recurso de segurança pela rede”, alerta a Microsoft.
A empresa não informou como os invasores exploraram a falha nem quem a divulgou.
As duas vulnerabilidades zero-day divulgadas publicamente são:
**
CVE-2026-108398
, vulnerabilidade de contorno de recurso de segurança no .NET Framework**
A Microsoft corrigiu uma vulnerabilidade no .NET Framework que permite contornar um recurso de segurança e pode ser explorada para executar aplicativos não autorizados.
“Um caminho de busca não confiável no .NET Framework permite que um invasor autorizado contorne localmente um recurso de segurança”, explica a Microsoft.
Segundo a empresa, a falha pode permitir que invasores contornem os controles do Windows Defender Application Control (WDAC) e executem aplicativos não autorizados.
“Um invasor autenticado pode colocar um assembly .NET especialmente criado em um sistema afetado e registrá-lo para carregamento por um processo protegido”, informou a Microsoft.
“A exploração bem-sucedida pode contornar as restrições do Windows Defender Application Control e permitir que o invasor execute código dentro do processo protegido. Não é necessária interação do usuário.”
James Forshaw, do Google Project Zero, descobriu a falha.
**CVE-2026-92707, vulnerabilidade de negação de serviço no MessagePack-CSharp**
A Microsoft corrigiu uma vulnerabilidade de negação de serviço no MessagePack-CSharp.
“A alocação sequencial de memória, controlada de forma inadequada no .NET, permite que um invasor não autorizado provoque uma negação de serviço pela rede”, explica a Microsoft.
A empresa não informou quem divulgou a vulnerabilidade.
Outros fornecedores que lançaram atualizações ou comunicados de segurança em outubro de 2026 incluem:
- A Adobe lançou atualizações de segurança para diversos produtos, entre eles Commerce, Substance 3D Samples, ColdFusion, Photoshop, Dimension e Framework.
- A Atlassian lançou atualizações para uma vulnerabilidade crítica,
CVE-2026-21589
, que afeta vários produtos Data Center instalados em infraestrutura própria, como Confluence, Jira e Bitbucket. Invasores começaram a explorar a falha pouco depois da divulgação de uma prova de conceito.
- A Cisco lançou atualizações para diversos produtos, incluindo falhas críticas no sistema operacional de rede para centros de dados NX-OS. As vulnerabilidades podem permitir que invasores executem código arbitrário com privilégios de superusuário em comutadores Nexus.
- A Citrix lançou atualizações de segurança para falhas no NetScaler ADC e no NetScaler Gateway. A
CVE-2026-88779
foi explorada em ataques zero-day antes de ser corrigida.
- A Dell lançou atualizações para vulnerabilidades críticas na ferramenta de implantação por linha de comando System Update (DSU) e nos Container Storage Modules (CSM).
- A Docker corrigiu uma falha crítica no DockerHub que permite que invasores se passem por outros usuários e enviem imagens para repositórios de terceiros.
- A Fortinet lançou atualizações para diversos produtos, incluindo uma vulnerabilidade crítica no FortiMail,
CVE-2026-104286
, explorada em ataques zero-day.
- A GitLab lançou atualizações para falhas críticas no AI Gateway e no compilador de expressões regulares do CI/CD.
- A Ivanti lançou uma atualização para uma vulnerabilidade zero-day explorada ativamente no gateway de acesso remoto Ivanti Connect Secure (ICS).
- A Kiteworks lançou atualizações para 126 vulnerabilidades, incluindo uma falha de gravidade máxima que afeta sua solução de segurança Email Protection Gateway (EPG).
- A Progress Software lançou atualizações para vulnerabilidades críticas e de alta gravidade no MarkLogic Server.
- A SAP lançou as atualizações de segurança de outubro, que corrigem 20 falhas, incluindo uma vulnerabilidade SSRF de gravidade máxima no OAuth2 do Cloud SDK for Python.
- A SonicWall lançou uma atualização para uma falha crítica de SSRF no SMA1000. Invasores exploraram a vulnerabilidade em menos de dois dias.
A seguir está a lista completa das vulnerabilidades corrigidas nas atualizações de outubro de 2026. Este levantamento também inclui as falhas corrigidas no início do mês.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...