Hoje é a Patch Tuesday de julho de 2026 da Microsoft, e ela traz correções de segurança para a maior edição já registrada do evento, com 622 CVEs da própria Microsoft segundo a contagem do Security Update Guide. O pacote corrige duas vulnerabilidades zero-day exploradas em ataques e uma divulgada publicamente.
O total supera com folga o recorde anterior, de junho, quando o volume girava em torno de 200 falhas.
O pacote corrige 59 vulnerabilidades classificadas como “Críticas”.
Dessas, 48 permitem execução remota de código, 9 elevam privilégios, 1 permite contornar a segurança e 1 envolve spoofing.
A distribuição aproximada das falhas por categoria é a seguinte:
254 vulnerabilidades de elevação de privilégio
17 vulnerabilidades de contorno de recurso de segurança
145 vulnerabilidades de execução remota de código
102 vulnerabilidades de divulgação de informações
35 vulnerabilidades de negação de serviço
16 vulnerabilidades de spoofing
Ao cobrir as atualizações de segurança da Patch Tuesday, o BleepingComputer considera apenas o que foi liberado pela Microsoft no dia.
Por isso, o total não inclui falhas em Mariner, Azure OpenAI, Azure Synapse, M365 Copilot, Microsoft Exchange Online, Microsoft Edge para Android e Microsoft Entra Provisioning Service, que já haviam sido corrigidas pela empresa no início deste mês.
Também ficaram de fora 468 falhas no Microsoft Edge e no Chromium, corrigidas pelo Google neste mês.
Na Patch Tuesday de junho, o Google havia corrigido 360 falhas que depois foram levadas ao Microsoft Edge.
Na semana passada, a Microsoft alertou que haveria um aumento nas correções da Patch Tuesday, porque começou a usar um sistema de descoberta de vulnerabilidades baseado em IA para identificar mais falhas em seu código do Windows antes que atacantes possam explorá-las.
Para saber mais sobre as atualizações sem relação com segurança lançadas hoje, vale consultar os artigos dedicados às atualizações cumulativas do Windows 11 KB5101650 e KB5099414.
A Patch Tuesday deste mês corrige três vulnerabilidades zero-day, sendo duas exploradas em ataques e uma divulgada publicamente.
A Microsoft classifica uma falha zero-day como divulgada publicamente ou explorada ativamente quando ainda não existe correção oficial disponível.
As duas zero-days exploradas ativamente corrigidas neste mês são:
CVE-2026-56155
: Vulnerabilidade de elevação de privilégio no Active Directory Federation Services
A Microsoft corrigiu uma vulnerabilidade explorada ativamente no Active Directory Federation Services que concede privilégios administrativos.
“Uma granularidade insuficiente no controle de acesso no Active Directory Federation Services (AD FS) permite que um atacante autorizado eleve privilégios localmente”, alertou a Microsoft.
A empresa atribuiu a descoberta da falha a Jeremy Kingston e Scott Clark, da equipe Microsoft Detection and Response Team (DART), unidade de resposta a incidentes da companhia, o que indica que o problema provavelmente foi identificado durante a investigação de ataques em andamento.
A Microsoft não divulgou detalhes sobre como a falha foi explorada nos ataques.
CVE-2026-56164
: Vulnerabilidade de elevação de privilégio no Microsoft SharePoint Server
A Microsoft também corrigiu uma falha explorada ativamente no Microsoft SharePoint Server local que permite a um atacante remoto obter privilégios elevados.
“A ausência de autenticação para uma função crítica no Microsoft Office SharePoint permite que um atacante não autorizado eleve privilégios pela rede”, explicou a empresa.
A vulnerabilidade não exige credenciais nem interação do usuário, e a Microsoft informou que habilitar a Antimalware Scan Interface (AMSI) no servidor e definir o modo Request Body Scan para Full pode ajudar a mitigar essa falha.
Até agora, não foram divulgados detalhes sobre como a vulnerabilidade foi explorada nos ataques.
A Microsoft atribuiu a descoberta da falha a Jayson Frost, da Mandiant Incident Response, a Genwei Jiang, da Google Cloud, à FLARE OTF e a um pesquisador anônimo.
A zero-day divulgada publicamente e corrigida é:
CVE-2026-50661
: Vulnerabilidade de contorno de recurso de segurança no Windows BitLocker
A Microsoft corrigiu uma falha divulgada publicamente no Windows BitLocker que poderia permitir a invasão de dados criptografados.
“Um atacante bem-sucedido poderia contornar o recurso BitLocker Device Encryption no dispositivo de armazenamento do sistema.
Um atacante com acesso físico ao alvo poderia explorar essa vulnerabilidade para acessar dados criptografados”, explicou a empresa.
A Microsoft atribuiu a falha a um pesquisador anônimo.
Outros fornecedores que divulgaram atualizações ou alertas em maio de 2026 incluem:
A Adobe corrigiu recentemente sete falhas de severidade máxima no ColdFusion e no Campaign, incluindo a vulnerabilidade
CVE-2026-48282
no ColdFusion, que mais tarde foi explorada em ataques.
A BeyondTrust lançou atualizações de segurança para duas falhas críticas de bypass de autenticação em seus produtos Remote Support (RS) e Privileged Remote Access (PRA).
A Cisco publicou correções para diversos produtos, incluindo Cisco Identity Services Engine, Catalyst Center e ClamAV.
A empresa também confirmou que a
CVE-2026-20230
, corrigida em junho, estava sendo explorada ativamente em ataques.
A Fortinet lançou atualizações de segurança para várias falhas no FortiOS, FortiSandbox, FortiPam, FortiSASE e FortiProxy.
A Gitea publicou uma atualização de segurança para um bypass de autenticação crítico na imagem Docker do Gitea.
A Ivanti lançou correções para duas vulnerabilidades no Ivanti Xtraction.
Os mantenedores do Linux kernel publicaram um patch para a vulnerabilidade Januscape, que permite a atacantes escapar de uma máquina virtual e executar código arbitrário no host.
A NVIDIA lançou atualizações de segurança para o NVIDIA Triton Inference Server e o NVIDIA TensorRT-LLM.
A Progress Software publicou atualizações para uma vulnerabilidade zero-day de path traversal de alta severidade, que levou ao desligamento emergencial dos ShareFile Storage Zone Controllers na semana passada.
A Ubiquiti lançou atualizações de segurança para vulnerabilidades no UniFi OS, incluindo uma falha de severidade máxima que pode ser explorada em ataques de injeção de comandos.
Os mantenedores do U-Boot publicaram patches para corrigir novas falhas que poderiam viabilizar ataques furtivos a firmware.
A SAP divulgou as correções de segurança de julho, que incluem ajustes para quatro falhas críticas no NetWeaver, Commerce Cloud e AppRouter.
A VMware lançou atualizações de segurança para o VMware Avi Load Balancer, incluindo bypasses de autenticação e falhas de execução remota de código.
A Zimbra publicou correções para uma vulnerabilidade crítica de XSS que afeta o Classic Web Client da suíte Zimbra Collaboration.
A seguir está a lista completa das vulnerabilidades corrigidas nas atualizações da Patch Tuesday de julho de 2026, excluindo as falhas já corrigidas antes de hoje.
Publicidade
Conheça a Solyd One, e tenha acesso a todos os cursos de segurança ofensiva da Solyd, todas as certificações práticas, incluindo a SYCP, 2 CTFs anuais com prêmios de até 30 mil reais, dezenas de laboratórios realísticos, suporte, comunidade e muito mais. Saiba mais...