Patch Tuesday da Microsoft bate 974 CVEs em setembro e revela o custo da IA agêntica na esteira de correção
A Microsoft corrigiu 974 falhas em setembro, 5,6x a média mensal do período pré-2026. Dois zero-days no Windows já estavam no catálogo KEV da CISA antes do patch.
O maior Patch Tuesday da história
A Microsoft publicou 974 correções de segurança na terça-feira, 9 de setembro, o maior número já divulgado em um único ciclo mensal. O volume equivale a 5,6 vezes a média histórica de cerca de 175 CVEs por mês antes de 2026 e supera o recorde anterior, de 570 falhas, batido em julho deste ano. Windows concentra 723 avisos, seguido por Office (111), SQL Server (62), ferramentas de desenvolvimento (22), SharePoint (16), Azure (12), Skype for Business (10) e Exchange Server (9).
Dois dos avisos já estavam sob exploração antes do patch. CVE-2026-85880 é um heap buffer overflow em Advanced Local Procedure Call (ALPC) do Windows, CVSS 7,8, que permite a um atacante local escapar do sandbox AppContainer e escalar para SYSTEM. Segundo a Tenable, é o primeiro ALPC no Patch Tuesday em mais de três anos, desde abril de 2023, e o segundo explorado como zero-day desde janeiro daquele mesmo ano. CVE-2026-81963 é uma falha de resolução de link no Windows Update Stack, também CVSS 7,8, com o mesmo salto para SYSTEM a partir de um foothold local. Atinge Windows 11 versões 23H2, 24H2, 25H2 e 26H1, além de Windows Server 2025 e Server Core. A CISA adicionou o CVE-2026-81963 ao catálogo Known Exploited Vulnerabilities em 8 de setembro, com prazo de correção para agências federais em 22 de setembro. É a primeira falha de elevação de privilégio em Windows Update Stack explorada como zero-day desde 2022.
O salto tem nome e é agêntico
Em julho, a Microsoft avisou clientes que a fila de patches iria crescer por conta do uso interno de ferramentas de IA agêntica para descobrir zero-days. O ciclo de setembro é a primeira leitura completa desse pipeline em produção. A Zero Day Initiative destaca ainda 20 bugs classificados como wormable neste lote, categoria que propaga sem interação do usuário e é particularmente perigosa em redes corporativas heterogêneas.
O efeito prático cai no time de segurança da empresa. Um volume triplicado de trabalho de triagem em um ciclo em que a janela de exploração continua a mesma. Um CISO de banco médio europeu operando duas dúzias de imagens Windows Server, ferramentas Office 365 distribuídas em cinco geografias e um SharePoint legado precisa priorizar 974 avisos em dias, não semanas. Ferramentas automatizadas de patch gerenciam volume, mas exceções, testes de compatibilidade e janelas de manutenção continuam manuais.
O ricochete internacional
O ciclo de setembro toca infraestrutura de TI em três frentes distintas. Nos EUA, o prazo de 22 de setembro da CISA vale só para o governo federal, mas define o piso de tempo que provedores de serviço gerenciado usam para priorizar clientes financeiros regulados. Na Europa, a diretiva NIS2 aumenta a pressão sobre operadoras de infraestrutura crítica que rodam Windows, com estados-membros já cobrando planos de resposta em janelas comparáveis. Na Índia, onde ficam os Global Capability Centers responsáveis pelo patch management de metade das companhias Fortune 500, o volume vai testar limites de horas contratadas e turnos de plantão.
Empresas brasileiras que rodam SAP em Windows Server, com bancos SQL Server e SharePoint como back-end operacional, entram no mesmo ciclo. A diferença é que o time de segurança médio no país opera com equipe menor por endpoint do que os pares em Frankfurt ou Boston, o que amplia o intervalo entre a divulgação e a aplicação real do patch, hoje já em torno de 45 dias segundo levantamentos setoriais.
O sinal para o comprador de software
O uso da IA agêntica pela própria Microsoft para caçar bugs é um caso raro em que o discurso e o número batem. Nem toda plataforma vai divulgar o multiplicador que extrai dessa abordagem, mas quem constrói SDLC com IA agêntica precisa fazer as contas: se o descobridor puder achar cinco vezes mais falhas, o remediador do outro lado terá que ganhar produtividade equivalente, ou a distância entre descoberto e corrigido só cresce. Para o comprador de software corporativo, a métrica a olhar nos próximos dois trimestres é o tempo médio entre a publicação do CVE e a chegada da correção nos ambientes gerenciados pelos MSPs. Ninguém no board vai perguntar por 974 patches. Vão perguntar quantos daqueles avisos ainda estavam abertos quando o próximo incidente veio.