Após seu aviso anterior de que atualizações de segurança em grande volume poderiam se tornar a nova norma no futuro próximo, a Microsoft lançou esta semana correções para 421 CVEs exclusivos, incluindo duas vulnerabilidades de dia zero.
Destas, 236 vulnerabilidades afetam o Windows, enquanto 98 afetam cada uma o Office e o Office 2016. O SharePoint Server foi responsável por 30 vulnerabilidades, seguido pelas Ferramentas do Desenvolvedor, com 26; Azure, com 17; e Exchange Server por mais sete. A Microsoft avaliou 44 dos CVEs como de gravidade crítica e a grande maioria dos outros como bugs de gravidade Importante ou Moderada. No total, 180 das vulnerabilidades na atualização de agosto de 2026 da Microsoft eram problemas de elevação de privilégios (EoP) que dão aos invasores a capacidade de obter privilégios totais de nível de SISTEMA nos dispositivos afetados.
Este é o segundo mês consecutivo em que o Patch Tuesday da Microsoft foi significativamente maior do que suas atualizações de segurança típicas. O lançamento de julho foi ainda maior, abordando 622 CVEs únicos. A Microsoft alertou as organizações para esperarem volumes elevados de patches no curto prazo, já que a empresa, como outros fornecedores de software, usa cada vez mais ferramentas de IA para identificar vulnerabilidades em seus produtos.
A chave para as equipes de segurança é não deixar que o volume as sobrecarregue, mas sim focar na priorização das vulnerabilidades mais importantes, de acordo com especialistas em segurança. “Um lembrete pode ser necessário hoje”, observou Tyler Reguly, diretor associado de P&D de segurança da Fortra, em comunicado. "Sim, existem 421 CVEs da Microsoft. Sim, isso é muito para lidar. No entanto, 236 CVEs afetam o Windows e são cobertos pela atualização cumulativa. Outros 98 são CVEs do Office que são cobertos por atualizações cumulativas, a menos que você ainda execute o Office 2016.".
O bug de maior prioridade na atualização de agosto da Microsoft é CVE-2026-68820 (CVSS: 7.0), uma vulnerabilidade de elevação de privilégio (EoP) no driver de função auxiliar do Windows para WinSock que os invasores estão explorando ativamente. O bug de dia zero permite que um invasor autenticado localmente eleve privilégios e obtenha acesso de nível de SISTEMA nos sistemas afetados. Nenhuma interação do usuário é necessária para que uma exploração funcione. “Como o driver está presente na maioria dos sistemas Windows, ele oferece aos invasores um alvo amplo e um caminho potencial do acesso limitado ao controle total”, alertou Amol Sarwate, chefe de pesquisa de segurança e REDLab da Cohesity, em comunicado.
CVE-2026-62832 (CVSS: 7.8) é outra falha que merece atenção imediata porque é uma vulnerabilidade publicamente conhecida – antes da atualização deste mês – que a Microsoft acredita que os invasores provavelmente explorarão em um futuro próximo. De acordo com Sarwate, o bug, quando usado em conjunto com o CVE-2026-68820 explorado ativamente, poderia permitir que um invasor transformasse uma posição inicial em um comprometimento total do sistema. “Isso torna esta dupla a clara prioridade para os defensores neste mês”, disse ele.
Entre as dezenas de outras vulnerabilidades críticas deste mês, uma que se destaca, segundo Dustin Childs, chefe de conscientização sobre ameaças da Zero Day Initiative, é a CVE-2026-62878 (CVSS: 9.8), uma vulnerabilidade de execução remota de código (RCE) no Windows DNS Server que não requer interação do usuário. Em uma postagem de blog, Childs caracterizou a vulnerabilidade de gravidade quase máxima como um "bom e velho estouro de buffer baseado em pilha" que é propagável.
As informações são do site Dark Reading
