Hoje é dia de Patch Tuesday de agosto de 2026 da Microsoft, e a empresa liberou atualizações de segurança para 400 falhas, incluindo uma que já está sendo explorada ativamente e duas vulnerabilidades de zero-day divulgadas publicamente.
A rodada deste mês corrige 42 vulnerabilidades classificadas como “Críticas”. Desse total, 37 permitem execução remota de código e cinco estão ligadas à elevação de privilégio.
A estimativa de bugs por categoria é a seguinte:
176 vulnerabilidades de elevação de privilégio
11 vulnerabilidades de bypass de recurso de segurança
110 vulnerabilidades de execução remota de código
86 vulnerabilidades de divulgação de informações
12 vulnerabilidades de negação de serviço
21 vulnerabilidades de spoofing
O Patch Tuesday, são contabilizadas apenas as correções liberadas pela Microsoft nesta data.
Por isso, o número de falhas não inclui alguns problemas em Mariner, Microsoft Teams, Microsoft Azure, Microsoft Entra, Microsoft Office e Power Apps que já haviam sido corrigidos pela empresa no início deste mês.
Embora este Patch Tuesday seja menor que o do mês passado, quando 570 falhas foram corrigidas, ele ainda é muito grande em comparação com o mês anterior.
A Microsoft já havia alertado que o volume de atualizações de segurança do Patch Tuesday aumentaria, porque passou a usar um sistema de descoberta de vulnerabilidades com IA para identificar mais falhas em seus produtos de software.
A atualização deste mês corrige três vulnerabilidades de zero-day, sendo uma explorada em ataques e duas divulgadas publicamente.
A Microsoft classifica uma falha de zero-day como publicamente divulgada ou explorada ativamente quando ainda não há uma correção oficial disponível.
As vulnerabilidades de zero-day exploradas ativamente corrigidas neste Patch Tuesday são:
CVE-2026-68820
- Vulnerabilidade de elevação de privilégio no Windows Ancillary Function Driver for WinSock
A Microsoft corrigiu uma vulnerabilidade explorada ativamente no Windows Ancillary Function Driver for WinSock que concede privilégios SYSTEM.
“Um uso após liberação no Windows Ancillary Function Driver for WinSock permite que um atacante autorizado eleve privilégios localmente”, alertou a Microsoft.
“Um atacante autenticado localmente poderia executar um aplicativo especialmente preparado em um sistema afetado para acionar uma condição de corrida. A exploração bem-sucedida poderia permitir que o atacante obtenha privilégios SYSTEM. Não é necessária interação do usuário”, continuou a empresa.
As falhas foram atribuídas a Moshe Marelus e David Driker, da Check Point.
Em um relatório divulgado hoje, a Check Point informou que a falha foi explorada em ataques de zero-day por agentes de ameaça norte-coreanos conhecidos como Lazarus para implantar malware.
“Durante a intrusão, o agente de ameaça explorou a
CVE-2026-68820
, uma vulnerabilidade de zero-day no driver Microsoft AFD.sys, para implantar uma nova versão do FudModule, o rootkit em modo kernel do Lazarus”, disse a Check Point.
A Microsoft não compartilhou detalhes sobre como as falhas foram exploradas.
As duas vulnerabilidades de zero-day divulgadas publicamente que foram corrigidas são:
CVE-2026-62832
- Vulnerabilidade de elevação de privilégio no Windows User Profile Service
A Microsoft corrigiu uma falha de elevação de privilégios divulgada publicamente no serviço de perfil de usuário do Windows, que pode conceder privilégios de administrador.
“O direcionamento incorreto de link antes do acesso ao arquivo, ou ‘link following’, no Windows User Profile Service permite que um atacante autorizado eleve privilégios localmente”, explica a Microsoft.
“Um atacante autenticado que tenha credenciais de outra conta local pode executar um aplicativo especialmente preparado para carregar o hive do registro de outro usuário. A exploração bem-sucedida pode permitir que o atacante acesse ou modifique os dados de outro usuário e obtenha privilégios de administrador. Não é necessária interação do usuário”, continuou a empresa.
Embora a Microsoft tenha atribuído a falha a um pesquisador anônimo, os detalhes correspondem a uma vulnerabilidade de zero-day chamada “LegacyHive”, divulgada no mês passado por um pesquisador de segurança conhecido como Nightmare Eclipse.
Will Dormann, analista principal de vulnerabilidades da Tharros, já havia afirmado que usuários sem privilégios de administrador podem explorar o LegacyHive para modificar o hive do registro e executar comandos com privilégios administrativos quando a conta de administrador faz login em um dispositivo comprometido.
CVE-2026-72971
- Vulnerabilidade de adulteração no Windows Container Isolation FS Filter Driver (unionfs.sys)
A Microsoft corrigiu uma falha de elevação de privilégios divulgada publicamente no Windows Container Isolation FS Filter Driver, que pode conceder privilégios de administrador.
“O direcionamento incorreto de link antes do acesso ao arquivo, ou ‘link following’, no Windows Container Isolation FS Filter Driver (unionfs.sys) permite que um atacante autorizado realize adulteração localmente”, explica a Microsoft.
“Um atacante autenticado que tenha credenciais de outra conta local pode executar um aplicativo especialmente preparado para carregar o hive do registro de outro usuário. A exploração bem-sucedida pode permitir que o atacante acesse ou modifique os dados de outro usuário e obtenha privilégios de administrador. Não é necessária interação do usuário”, continuou a empresa.
A Microsoft não informou onde a falha foi divulgada, mas atribuiu a descoberta a yhw e txz.
Além dessas correções, um exploit de prova de conceito, ou PoC, para uma vulnerabilidade crítica do Microsoft SharePoint, publicado na terça-feira pela empresa de cibersegurança Rapid7, já está sendo usado em ataques.
Identificada como
CVE-2026-55040
, essa falha de segurança de bypass de autenticação no pipeline de validação do token JWT pode ser explorada por invasores sem privilégios para executar ações como um usuário ou administrador de um site do SharePoint.
A Microsoft corrigiu a vulnerabilidade como parte das atualizações do Patch Tuesday de julho de 2026, quando alertou clientes a aplicarem o patch em sistemas com SharePoint Enterprise Server 2016 e SharePoint Server 2019.
“A funcionalidade de autenticação poderia ser contornada, já que essa vulnerabilidade permite personificação”, informou a empresa. “A exploração dessa vulnerabilidade poderia permitir que um invasor revele arquivos e modifique dados, mas não afetar a disponibilidade do sistema.”
Uma análise técnica detalhada sobre a
CVE-2026-55040
foi publicada na terça-feira pelo pesquisador de segurança da Rapid7 Stephen Fewer, junto com um exploit de PoC.
Ainda hoje, a empresa de inteligência de ameaças Defused informou que o código do exploit da Rapid7 já foi transformado em arma em ataques contra seus honeypots.
“Os invasores estão usando agora o PoC da @rapid7 para a
CVE-2026-55040
contra nossos honeypots do SharePoint”, alertou a Defused. “A vulnerabilidade é um bypass de autenticação JWT no Microsoft SharePoint, para a qual a Rapid7 publicou ontem uma análise técnica e um código de prova de conceito.”
A entidade Shadowserver, que monitora ameaças na internet, acompanha atualmente mais de 8.500 servidores Microsoft SharePoint expostos online. No entanto, não há informação sobre quantos deles são honeypots ou já foram corrigidos contra essa falha de segurança.
Embora a Microsoft tenha classificado essa falha como um alvo atraente para hackers, a empresa ainda não a marcou como explorada com sucesso no mundo real.
Provavelmente com base na avaliação de explorabilidade da Microsoft, a Agência de Cibersegurança e Segurança de Infraestrutura dos Estados Unidos, a CISA, alertou os responsáveis pela defesa de redes em 15 de julho para proteger seus servidores SharePoint contra possíveis ataques com a
CVE-2026-55040
.
A CISA orientou as equipes de segurança a evitar a exposição direta de servidores SharePoint na internet, salvo quando necessário, e a revisar a documentação oficial da Microsoft sobre endurecimento de segurança do SharePoint Server.
A agência também recomendou bloquear o acesso externo ao SharePoint Central Administration e restringir a comunicação entre farm e banco de dados apenas aos sistemas necessários. Quando a exposição à internet for inevitável, a CISA recomenda colocar os servidores atrás de um proxy reverso de Camada 7 ou de um controle de segurança similar na camada de aplicação.
Desde novembro de 2021, a agência de cibersegurança já registrou 14 vulnerabilidades do Microsoft SharePoint exploradas ativamente, sendo que oito delas também foram usadas em ataques de ransomware.
Na terça-feira, a CISA também confirmou que uma vulnerabilidade de execução remota de código de alta gravidade no Microsoft SharePoint, identificada como
CVE-2026-45659
e classificada como explorada ativamente desde o início de julho, agora também vem sendo usada por grupos de ransomware.
Outros fornecedores que lançaram atualizações ou alertas em agosto de 2026 incluem:
A Adobe liberou atualizações de segurança para vulnerabilidades em ColdFusion, Commerce, Lightroom Classic, Content Credentials SDK e Campaign Classic.
A Cisco liberou atualizações de segurança para vários produtos, incluindo Cisco Catalyst SD-WAN, IOS, IOS XE e falhas no ClamAV com exploits públicos.
A Metabase liberou atualizações de segurança para uma falha crítica de SQLi que foi explorada em ataques de roubo de dados.
A N-able liberou atualizações de segurança para uma vulnerabilidade de bypass de autenticação explorada ativamente, a
CVE-2026-18577
, que afeta servidores N-central hospedados e locais.
A SAP liberou as atualizações de segurança de agosto para vários produtos, incluindo uma falha de autorização incorreta de severidade 10,0 no SAP Commerce Cloud, no Data Hub Adapter.
A TP-Link corrigiu 15 vulnerabilidades no mecanismo de provisionamento sem toque, ou ZTP, de seus dispositivos de rede Omada, que poderiam levar à RCE.
A VMware liberou atualizações de segurança para o VMware Avi Load Balancer, incluindo falhas de bypass de autenticação e de execução remota de código.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...