Entre as mais de 1.400 falhas corrigidas pela Microsoft em 13 de outubro, a CVE-2026-96951 (CVSS 8,8) já está sendo explorada: ela permite que um arquivo malicioso escape da proteção Mark of the Web. Todas as versões suportadas do Windows e do Windows Server são afetadas, e a CISA deu três dias às agências americanas para corrigir.
O que aconteceu
O Patch Tuesday de outubro de 2026, publicado pela Microsoft em 13 de outubro, bate mais um recorde: 1.413 vulnerabilidades segundo o The Hacker News, 70 delas críticas segundo o 01net. Apenas uma é indicada pela Microsoft como já explorada: a CVE-2026-96951 (CVSS 8,8), uma injeção de comandos no shell do Windows que permite contornar o Mark of the Web (MOTW). É a marca que o Windows aplica aos arquivos baixados ou recebidos por e-mail, e é ela que dispara os alertas do SmartScreen e o modo de exibição protegido do Office.
A CISA americana incluiu a falha em seu catálogo de vulnerabilidades exploradas no mesmo dia e deu às agências federais até 16 de outubro para corrigi-la. A Microsoft também aponta uma falha no .NET Framework, a CVE-2026-108398 (CVSS 8,8), outro contorno de proteção divulgado antes da correção, mas sem ataques conhecidos.
Quem é afetado e como os atacantes entram
Todas as versões suportadas são afetadas: Windows 10, Windows 11 e Windows Server 2012 R2, 2016, 2019, 2022 e 2025, incluindo Server Core. O ataque não é automático: segundo a Microsoft, a vítima precisa abrir um arquivo manipulado recebido por e-mail ou mensagem instantânea, ou seguir um link para um site malicioso. Sem a marca MOTW, o arquivo abre sem o aviso habitual. Do lado dos servidores, o risco se concentra nos servidores de Área de Trabalho Remota (RDS) e nos servidores de salto de administração, onde se lê e-mail e se navega na web.
O que fazer agora
- Implante a atualização cumulativa de outubro, primeiro nas estações e nos servidores RDS, depois em todo o parque: KB5126646 (Windows Server 2025), KB5126655 (2022), KB5126651 (2019), KB5126868 (2016), KB5126836 (2012 R2), KB5127648 (Windows 11 24H2 e 25H2), KB5126657 (Windows 10 21H2 e 22H2).
- Confirme a instalação: no PowerShell,
Get-HotFix -Id KB5126655(com o KB da sua versão), ou leia a revisão do build com(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').UBR. Mínimos esperados: 20348.5761 para o Server 2022, 17763.9376 para o Server 2019, 26100.33650 para o Server 2025. - Filtre os anexos no gateway de e-mail: atalhos, scripts, imagens de disco e arquivos compactados com senha raramente têm motivo para chegar aos seus usuários.
- Revise os alertas do seu EDR dos últimos dias em busca de processos incomuns iniciados pelo explorer.exe ou pelo Outlook.
Nossa análise
Contornar o MOTW não basta, sozinho, para tomar um servidor, mas elimina o último aviso entre um anexo malicioso e um clique. Com mais de 1.400 correções em um mês, a única regra viável é priorizar: falhas já exploradas são corrigidas em poucos dias, começando pelas máquinas onde se lê e-mail.
Fontes
- Microsoft — Security Update Guide, CVE-2026-96951
- CISA — Known Exploited Vulnerabilities Catalog, CVE-2026-96951
- 01net — Plus de 1 400 failles Windows : le nouveau record monstrueux du Patch Tuesday de Microsoft
- The Hacker News — Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug
Como escolhemos, verificamos e escrevemos nossas análises →
Credenciais roubadas muitas vezes começam com uma mensagem de phishing. Recebeu um SMS ou e-mail suspeito? Verifique antes de clicar:
Preocupado com a exposição dos seus servidores? Nossa equipe audita, corrige e monitora infraestruturas Linux e cloud 24/7.
Fale com um especialista Nossos serviços de gestão de servidores →
