966 correcções num dia, e dois dos buracos já estavam a ser usados
O número é quase toda a história. O Patch Tuesday de Setembro, publicado a 8 de Setembro, cobre 966 falhas segundo a contagem do BleepingComputer e 964 segundo a da Tenable, conforme se contem ou não os serviços na nuvem. Seja como for, é a maior publicação individual da história da empresa, com 105 entradas classificadas como críticas. Um número assim diz mais sobre a forma como as vulnerabilidades são hoje encontradas, com ferramentas automáticas a peneirar código em grande escala, do que sobre um Windows subitamente a desfazer-se. Quase nenhuma dessas 966 falhas alguma vez será tocada por alguém.
Duas já foram. A CVE-2026-81963 está na própria pilha do Windows Update, a maquinaria que instala as actualizações, e permite que um programa já em execução no seu PC suba até SYSTEM, a conta com controlo total. Afecta o Windows 11 e o Server 2025 e foi comunicada por Romain Deperne juntamente com a equipa de informações sobre ameaças da própria Microsoft. A CVE-2026-85880 é um transbordo de memória dinâmica no Advanced Local Procedure Call, o caminho por onde os componentes do Windows falam uns com os outros, e atinge o Windows 10 e versões de servidor mais antigas. Foi encontrada por Mark Kelly, da Volexity, e por David Galazin e Jeremy Hedges, da Proofpoint. Ambas têm gravidade 7,8, a Microsoft não disse quem as estava a usar, e a CISA incluiu as duas no seu catálogo de falhas activamente exploradas a 8 de Setembro.
Vale a pena mencionar outra falha apenas para que deixe de se preocupar com ela. A CVE-2026-69730 obtém 9,8 e os investigadores chamam-lhe a sucessora espiritual da SigRed, a falha de DNS de 2020 capaz de se propagar sozinha. Vive no Windows DNS Server, uma função que corre em servidores de empresa. Nenhum PC doméstico a tem instalada.
O que quer na sua máquina: KB5124008 para o Windows 11 24H2 e 25H2, KB5122880 para o 23H2 e KB5122878 para os PC com Windows 10 abrangidos pelas actualizações de segurança alargadas. O pacote traz ainda correcções críticas de execução remota de código no Word, Excel, Outlook e PowerPoint, e nos componentes gráficos e nos codecs que abrem as suas imagens. Uma transferência deste tamanho é exactamente o ponto em que o Windows Update costuma encravar e, se isso acontecer, o assistente de reparação do Windows Update do Tendvane repõe a canalização por baixo para que a instalação recomece limpa.