O que aconteceu
No Patch Tuesday de 8 de setembro de 2026, a Microsoft corrigiu 964 CVEs, o maior volume já registrado, superando o recorde de julho, segundo a Tenable. Foram 104 críticas e 860 importantes. Elevação de privilégio respondeu por 44,7% das falhas e execução remota de código por 26,8%.
Os dois zero-days
- CVE-2026-81963 (Windows Update Stack): falha de link following que permite elevar privilégios a SYSTEM. CVSS 7,8. É a primeira EoP do Update Stack explorada como zero-day desde 2022.
- CVE-2026-85880 (Windows ALPC): elevação a SYSTEM, CVSS 7,8. É o segundo zero-day em ALPC desde o CVE-2023-21674.
Ambas exigem acesso local, mas são o tipo de falha que atacantes encadeiam depois de um phishing ou de um acesso inicial.
Outras falhas para priorizar
- CVE-2026-69730 (Windows DNS Server): RCE sem autenticação, CVSS 9,8, "exploração mais provável".
- CVE-2026-69525 (Remote Desktop Services): RCE por use-after-free, CVSS 9,8.
- CVE-2026-69676 (Kerberos): RCE com CVSS 8,8.
- CVE-2026-69380 (Exchange Server): um usuário autenticado pode acessar outras caixas de correio; CVSS 8,1.
O que fazer agora
- Aplique as atualizações cumulativas de setembro em estações e servidores, começando pelos que têm usuários com acesso à internet (zero-days de EoP).
- Priorize servidores DNS, RDS e controladores de domínio.
- Com quase mil CVEs em um mês, automatize a gestão de patches e use o catálogo KEV da CISA para decidir a ordem.