A Microsoft corrigiu mais de 950 vulnerabilidades no pacote de atualizações de setembro de 2026, elevando para cerca de 2.750 o total de falhas corrigidas neste ano: mais que o dobro do recorde anual anterior, de aproximadamente 1.250 em 2020. O volume é atribuído em grande parte à descoberta de vulnerabilidades assistida por inteligência artificial, segundo análise publicada pelo InfoQ.
Duas falhas zero-day exploradas ativamente estão entre as correções: CVE-2026-81963 e CVE-2026-85880, ambas permitindo elevação de privilégios em sistemas Windows. A urgência de aplicação é imediata para equipes de segurança.
O que o patch de setembro de 2026 da Microsoft corrige
O pacote de setembro de 2026 da Microsoft reúne mais de 950 correções de segurança, das quais 113 foram classificadas pela própria empresa como críticas, ou seja, exploráveis com pouca ou nenhuma interação do usuário. O levantamento detalhado do BleepingComputer aponta 258 falhas de execução remota de código e 438 de elevação de privilégios.
As duas zero-days têm origens distintas. CVE-2026-85880 foi descoberta por pesquisadores das empresas de segurança Volexity e Proofpoint. Já CVE-2026-81963 foi reportada de forma independente por pesquisadores da Airbus Helicopters e pelo Microsoft Threat Intelligence Center.
Por que essas duas falhas merecem prioridade máxima? Porque estão sendo exploradas ativamente agora. Enquanto as demais 950 correções seguem o ciclo normal de teste e implantação, zero-days em exploração exigem janela de emergência, com aplicação fora do calendário habitual.
# publicidade
Atenção: se a sua organização roda Windows, CVE-2026-81963 e CVE-2026-85880 devem ir para o topo da fila de patching. Ambas permitem elevação de privilégios e já estão em uso por atacantes.
Por que o número de vulnerabilidades explodiu
A descoberta assistida por IA é o principal motor desse crescimento, e a Microsoft não é a única. Segundo o especialista em segurança Brian Krebs, várias grandes empresas de software estão lançando "pacotes de correção gigantescos" e atribuindo o sucesso crescente de seus programas a ferramentas de IA.
Escrevendo para a Ars Technica, Dan Goodin observou que "a indústria está liberando quantidades sem precedentes de patches em seus softwares". A fala vem na esteira de uma carta aberta assinada por OpenAI, Anthropic, AWS, Google, Microsoft e outras empresas, alertando que "ataques cibernéticos habilitados por IA se tornarão muito mais difundidos e sofisticados" no futuro próximo. O Mercado de TI já cobriu essa carta aberta da indústria sobre ciberataques com IA, que reúne as principais big techs em torno da defesa coletiva.
Na avaliação do Mercado de TI, o cenário é paradoxal: a mesma IA que encontra falhas mais rápido também arma atacantes, o que tende a manter o volume de patches em patamar elevado. Não é fase passageira.
"Nessa escala, o desafio não é simplesmente vencer a lista de patches. É saber o que precisa de atenção primeiro": Jack Bicer, diretor de pesquisa de vulnerabilidades da Action1.
O gargalo humano: priorizar, testar e implantar
Encontrar a vulnerabilidade é só o começo. Jack Bicer, da Action1, destacou que equipes de TI e segurança precisam separar rapidamente as falhas que exigem ação imediata das que podem seguir o ciclo normal de implantação.
Marva Bailer, CEO fundadora da Qualaix, observou que as organizações ainda precisam entender sua exposição, testar o patch, avaliar o que mais ele pode afetar e distribuí-lo por milhares de dispositivos e sistemas interconectados. "É aí que um patch de software vira uma história de negócio", resumiu. Ela também alertou que a IA, ao acelerar a descoberta, pressiona ainda mais o tempo entre detecção, teste e implantação.
Tyler Reguly, diretor associado de pesquisa e desenvolvimento em segurança da Fortra, foi mais incisivo: enquanto a Microsoft estiver correndo atrás das vulnerabilidades, "os números perderam todo o significado". Ainda assim, ele defende reconhecer o "nosso normal atual" e avaliar como pessoas e processos lidam com volumes tão altos de patches, que precisam ser validados e testados antes de qualquer implantação.
O que isso muda para um time brasileiro de segurança? Na prática, exige automação de inventário e de priorização baseada em risco, não em contagem. Ferramentas de gestão de vulnerabilidades deixam de ser diferencial e viram requisito mínimo para operar com esse volume.
Dica: monte uma rotina em duas trilhas: janela de emergência para zero-days e falhas críticas com exploração ativa, e ciclo mensal para o restante. Documente critérios de priorização para justificar decisões junto à diretoria.
Os números do ciclo de 2026
O acumulado do ano mostra a dimensão da mudança: cerca de 2.750 vulnerabilidades corrigidas pela Microsoft até setembro, contra o recorde anterior de aproximadamente 1.250 em 2020. Só em setembro, foram mais de 950 correções, incluindo 113 críticas, 258 de execução remota de código e 438 de elevação de privilégios, segundo o BleepingComputer.
Info: a atualização de setembro de 2026 contempla Windows 11 versões 24H2 e 25H2, conforme a página oficial de servicing da Microsoft.
A tendência indica que times de segurança operarão permanentemente sob volume recorde de correções. Quem ainda trata Patch Tuesday como evento mensal pontual vai precisar redesenhar processos, porque o gargalo deixou de ser a Microsoft encontrar falhas: é a sua organização conseguir absorvê-las.
Leia também:
Skild AI ensina robôs com vídeo e acerta de tarefas novas SEM retreino
Claude sob ataque: Anthropic revela espionagem russa e 151 milhões de interações da Alibaba
Fonte: Infoq
