Mega Patch Tuesday: Microsoft corrige 3 Zero-days

O Patch Tuesday de julho de 2026 vai entrar para a história da cibersegurança. Em um volume nunca antes visto, a Microsoft liberou pacotes de atualização para cobrir o número assustador de 622 vulnerabilidades em seus produtos, marcando um pico absurdo na curva histórica de patches mensais da empresa.

Mas o que importa para as equipes de TI (e para os hackers) não é o número absoluto de bugs triviais consertados. O que pisca em vermelho nos relatórios de ameaças são os três zero-days — falhas desconhecidas e já ativamente exploradas em ataques reais —, incluindo uma vulnerabilidade crítica no coração da infraestrutura corporativa: o Active Directory.

Os destaques do mega-patch

Das 622 correções liberadas, 45 foram classificadas com gravidade Crítica, permitindo na maioria dos casos Execução Remota de Código (RCE) ou Elevação de Privilégios (EoP).

Os produtos mais afetados incluem o Windows OS, Microsoft Office, SQL Server e componentes do Azure. No entanto, o foco total das equipes de defesa cibernética deve estar voltado para as três vulnerabilidades 0-day já encontradas em “estado selvagem” (in the wild).

1. O pesadelo do Active Directory (CVE-2026-56155)

A falha mais urgente deste mês reside no Active Directory Federation Services (AD FS). A vulnerabilidade de elevação de privilégios e bypass de segurança permite que um invasor não autenticado, que consiga forjar um ticket específico ou explorar o endpoint do AD FS, escale seus privilégios até assumir o controle total do domínio.

O AD FS é frequentemente a espinha dorsal do Single Sign-On (SSO) híbrido das empresas. Comprometer o AD FS significa que o atacante obtém as “chaves do reino” para emitir tokens falsos, acessando recursos locais e na nuvem do Azure sem precisar saber qualquer senha.

2. Windows MSHTML: Execução de Código (CVE-2026-56157)

Apesar da Microsoft tentar aposentar o Internet Explorer há anos, o motor de renderização antigo, MSHTML, continua profundamente enraizado no Windows para renderizar conteúdo em outros aplicativos. A falha permite que um atacante crie um documento Office malicioso ou uma página web e, sem a necessidade da interação extensa do usuário, execute código remoto. Campanhas de phishing ativas já foram detectadas usando essa falha.

3. Win32k Elevação de Privilégio (CVE-2026-56162)

O driver de subsistema de janela do Windows (Win32k) é o eterno calcanhar de Aquiles do sistema. Essa nova vulnerabilidade de elevação de privilégio é o complemento perfeito para gangues de ransomware. Quando um hacker consegue acesso inicial à máquina (como um usuário comum), ele explora o Win32k para obter privilégios de sistema (SYSTEM), permitindo desativar antivírus e criptografar todos os discos.

O desafio do rollout

Aplicar 622 correções de uma vez em milhares de servidores e desktops é um pesadelo logístico. O risco de que um patch quebre algum software legado é inversamente proporcional à urgência de fechar as brechas.

No ano em que ainda temos flashbacks do apagão cibernético causado por uma atualização global da CrowdStrike em 2024, muitos administradores hesitam. Mas a matemática não perdoa: o CVE-2026-56155 no Active Directory já está sendo ativamente usado por grupos APT (Advanced Persistent Threats).

A recomendação padrão das agências de cibersegurança como a CISA é clara: aplique os patches nos Domain Controllers e servidores AD FS nas próximas 48 horas. Teste os patches de desktop em grupos-piloto e proceda com a distribuição o mais rápido possível.

Adiar esse update específico deixou de ser “precaução” para se tornar convite aberto a invasões. Seus servidores Active Directory já estão atualizados hoje?