Microsoft corrige 973 CVEs em setembro e admite dois zero-days sob exploração ativa no Windows

A Microsoft publicou no Patch Tuesday de 8 de setembro a maior leva de correções de sua história: 973 CVEs em um único ciclo, dois deles com exploração ativa já confirmada pela própria empresa. As duas vulnerabilidades exploradas afetam o Windows Advanced Local Procedure Call (ALPC) e o Windows Update Stack, e ambas elevam privilégios locais até SYSTEM.

A CVE-2026-85880, no ALPC, é um heap-based buffer overflow com CVSS 7.8. O ataque parte de código já em execução dentro de um AppContainer de baixo privilégio e permite fugir do sandbox para assumir o controle da máquina. A Volexity e a Proofpoint foram creditadas por reportar a falha à Microsoft, sinal de que a exploração vinha sendo observada em campo antes da divulgação. É o segundo zero-day no ALPC em quatro anos.

A CVE-2026-81963, no Windows Update Stack, também recebe CVSS 7.8 e nasce de uma resolução imprópria de links: um atacante consegue forçar o serviço de atualização a seguir um link malicioso e sobrescrever um componente do sistema por um binário controlado. A Microsoft credita Romain Deperne, pesquisador ofensivo da Airbus Helicopters, e o Microsoft Threat Intelligence Center pela descoberta. É a primeira EoP no componente explorada em campo desde 2022, e a correção alcança todas as versões suportadas do Windows.

Escala inédita e superfície ampliada

Dentro do pacote, a Microsoft classifica 113 CVEs como Critical e 860 como Important. O Office concentra três RCEs críticas: CVE-2026-81959 e CVE-2026-81953 no Excel e CVE-2026-81952 no Word. Kerberos, Key Distribution Center e Netlogon, pilares da autenticação corporativa Windows, também figuram entre as remotas críticas. A superfície inclui SQL Server, Exchange, SharePoint, Azure e ferramental de desenvolvimento, o que joga o problema para dentro dos data centers de empresas que ainda operam servidores locais.

O tamanho do ciclo tem efeito prático: mais patches, mais reboots, mais janelas de manutenção, mais oportunidade para o atacante que ainda não corrigiu. O time da Talos observa que a ALPC costuma ser encadeada com outra falha de execução remota em kill chains reais, o que reforça a orientação para tratar as duas EoPs exploradas como fila zero, à frente até das RCEs Critical.

Bancos, governo e o Brasil no meio do fogo

Bancos europeus e norte-americanos, que rodam Windows Server e Exchange nas camadas de identidade, ficam expostos ao mesmo padrão de escalada silenciosa: o atacante entra por phishing, cai num contexto restrito, e usa a ALPC para virar SYSTEM. Nos EUA, JPMorgan e Bank of America mantêm frotas de dezenas de milhares de endpoints Windows sob gestão terceirizada. Na Alemanha, Deutsche Bank e agências federais ainda dependem de infraestrutura Windows on-prem para autenticação interna, e sofrem a mesma exposição sob a nova diretiva NIS2.

O Brasil entra pela mesma porta: a base instalada de Windows corporativo em bancos, tribunais e órgãos públicos é grande e frequentemente atrasada em ciclos de patch. O CTIR Gov e o Serpro terão de propagar as duas correções em janelas curtas se quiserem evitar que a exploração observada por Volexity e Proofpoint alcance ativos federais. Itaú e Bradesco carregam a mesma superfície de identidade Windows nos serviços corporativos que sustentam mesa e private bank.

Há um detalhe menos comentado do ciclo: a origem de metade da descoberta. A Airbus Helicopters aparece como referência de threat intel sobre o Windows Update. Um fornecedor aeroespacial europeu operando pesquisa ofensiva sobre um subsistema crítico da Microsoft não é acidente. É o desenho novo da defesa corporativa, no qual grandes usuários passam a tratar a base de código dos fornecedores como parte da própria superfície de risco, em vez de esperar pela cadeia de suprimentos do vendor.