Pular para o conteúdo
Indene
pt

Alertas de segurança

Patch Tuesday de outubro corrige zero-day do Windows Shell já explorado em ataques

A Microsoft lançou em 13 de outubro um pacote recorde de correções, com cerca de 1.400 falhas. A CVE-2026-96951, no Windows Shell, já é explorada e está no catálogo KEV da CISA, com prazo de correção em 16 de outubro. Veja o que priorizar.

Por Leonardo Araujo IevaAnalista de segurança ofensiva

3 min de leitura

Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título Over 1,400 fixes, one already under attack.
Rede de pontos ligados por traços finos sobre fundo escuro esverdeado, com um único nó em âmbar aceso e o título Over 1,400 fixes, one already under attack.

A Microsoft publicou em 13 de outubro de 2026 o pacote mensal de correções de segurança, que o BleepingComputer conta como o maior já lançado, com cerca de 1.411 falhas. Entre elas está uma já explorada em ataques: a CVE-2026-96951, no Windows Shell, que contorna um recurso de segurança do sistema. A CISA incluiu a falha no catálogo de vulnerabilidades exploradas (KEV) no mesmo dia, com prazo de correção em 16 de outubro para as agências civis federais americanas.

O que se sabe

item detalhe
Identificador CVE-2026-96951
Produto Windows (componente Windows Shell)
Tipo Injeção de comandos que permite contornar um recurso de segurança, o Mark of the Web, segundo o BleepingComputer; a CISA descreve o contorno do recurso "pela rede"
Situação explorada ativamente; a Microsoft não divulgou como o ataque ocorre nem quem reportou
No catálogo KEV da CISA sim, desde 13 de outubro de 2026 · prazo federal americano em 16 de outubro
Uso em ransomware desconhecido, segundo a CISA

O Mark of the Web é a marca que o Windows coloca em arquivos baixados da internet ou recebidos por e-mail, e que faz o sistema avisar o usuário antes de abri-los. Uma falha que contorna essa marca tira um dos avisos que sobraram contra anexos e downloads maliciosos. Os detalhes da exploração não são públicos, então não dá para dizer o tamanho da campanha.

O pacote traz ainda outros itens que merecem atenção:

  • Dois zero-days divulgados publicamente, mas sem exploração conhecida: a CVE-2026-108398, no .NET Framework, que pode contornar o WDAC (controle de aplicações do Windows) e exige invasor autenticado com acesso local; e a CVE-2026-92707, na biblioteca MessagePack-CSharp, de severidade moderada.
  • 70 falhas críticas, das quais 57 de execução remota de código. Entre elas, segundo a tabela da Microsoft reproduzida pelo BleepingComputer, uma execução remota no Active Directory Domain Services (CVE-2026-70229), duas falhas de spoofing no AD FS (CVE-2026-96222 e CVE-2026-108131) e uma execução remota no Azure App Service (CVE-2026-77900).
  • Fim de suporte: a atualização de outubro é a última para o Windows 11 24H2 (edições Home e Pro) e para o Windows 10 Enterprise LTSB 2016.

Por que importa para instituições financeiras

O volume recorde é um problema de fila, não de gravidade média. Com mais de mil correções no mês, a equipe que aplica tudo na mesma janela corre o risco de atrasar justamente as que importam. A de Windows Shell já é explorada. As do Active Directory e do AD FS, mesmo sem exploração conhecida, atingem o sistema que controla identidade e acesso em quase toda a instituição, e é nele que o comprometimento de um servidor vira o comprometimento da rede.

Há ainda o contexto da semana: BleepingComputer lista, no mesmo ciclo, falhas exploradas em Citrix, FortiMail, Ivanti e SonicWall. Quem cuida de correção está lidando com várias frentes ao mesmo tempo, e priorizar por exploração confirmada é o que sustenta uma decisão diante da auditoria.

O que fazer agora

  1. Aplique a atualização de outubro às estações e servidores Windows, começando pelas máquinas que recebem e-mail e navegam na internet. Use o prazo de 16 de outubro da CISA como referência de urgência, mesmo que a instituição não esteja sujeita à diretiva americana.
  2. Priorize controladores de domínio e servidores de federação (AD DS e AD FS) na mesma janela, por causa das falhas críticas desses componentes.
  3. Levante o inventário de Windows 11 24H2 Home e Pro e de Windows 10 Enterprise LTSB 2016, que deixam de receber atualizações de segurança, e defina o que será migrado.
  4. Enquanto a correção não chega a todos os equipamentos, reforce o bloqueio de anexos e arquivos de origem externa no filtro de e-mail e no proxy. Esta é uma recomendação da Indene, não do fabricante.
  5. Registre a aplicação e a verificação, com data e responsável: é a evidência que a auditoria vai pedir.

Referências

Assuntos

Continue lendo

Todas as notícias