Microsoft Windows Shell e componentes do Patch… · Divulgada

Patch Tuesday corrige zero-day do Windows Shell em exploração ativa

12 de out. de 2026 · 1 min de leitura

A Microsoft lançou em 13 de outubro de 2026 o Patch Tuesday de outubro, que segundo a Malwarebytes corrige 1.413 vulnerabilidades, recorde mensal. A rodada inclui a CVE-2026-96951, falha do Windows Shell em exploração ativa, e a CVE-2026-108398 (.NET Framework) e a CVE-2026-92707 (MessagePack-CSharp), divulgadas antes do patch. Aplique as atualizações cumulativas de outubro em todas as versões suportadas do Windows.

Por Redação HIFY Radar Atualizado 26/10/2026 13:29 Receba isso todo dia →← Voltar ao feed 2 fontes

AltaFalhaDivulgadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

A Microsoft lançou em 13 de outubro de 2026 o Patch Tuesday de outubro. Segundo a Malwarebytes, a rodada corrige 1.413 vulnerabilidades, recorde mensal, incluindo uma falha do Windows Shell já em exploração ativa e duas divulgadas publicamente antes da correção.

Por que importa

A falha em exploração ativa, CVE-2026-96951 (CVSS 8,8), contorna o Mark of the Web, o alerta sobre arquivos baixados inseguros, e exige que o funcionário clique em link ou abra anexo recebido por e-mail ou mensagem. Computadores Windows sem a atualização ficam expostos a esse tipo de ataque.

O que fazer

Aplique as atualizações cumulativas de outubro de 2026 em todos os Windows suportados e confirme pelo Windows Update que não há pendências. Até lá, reforce a orientação de não abrir anexos e links suspeitos.

Para o time técnico

CVE: CVE-2026-96951, CVE-2026-108398, CVE-2026-92707
Afetados: Microsoft Windows Shell e componentes do Patch Tuesday de outubro · Versões suportadas do Windows que recebem as atualizações cumulativas de outubro de 2026; detalhes por edição no Microsoft Security Update Guide, citado pela BleepingComputer.
Exploração: CVE-2026-96951 relatada como explorada ativamente (zero-day) pela Malwarebytes. CVE-2026-108398 e CVE-2026-92707 foram divulgadas publicamente antes do patch, segundo a Malwarebytes.
Correção: Atualizações cumulativas do Patch Tuesday de outubro de 2026 (pacotes KB por edição do Windows).
Vetor: CVE-2026-96951 (CVSS 8,8): bypass de recurso de segurança no Windows Shell; contorna o Mark of the Web (MOTW) e exige interação do usuário, como clicar em link ou abrir anexo em ataque por e-mail ou mensagem. CVE-2026-108398 (CVSS 8,8): caminho de busca não confiável no .NET Framework; atacante autorizado bypassa localmente o Windows Defender Application Control (WDAC) e pode executar aplicações não autorizadas. CVE-2026-92707 (CVSS 5,3): atacante remoto não autenticado esgota memória em aplicações que processam dados MessagePack especialmente criados; o componente envolvido é o MessagePack-CSharp e a exposição depende de como o serviço usa a biblioteca.
Mais detalhes: BleepingComputer contabiliza 1.411 falhas e 3 zero-days na rodada; Malwarebytes contabiliza 1.413 vulnerabilidades, recorde mensal. A Microsoft afirmou que o uso crescente de IA para encontrar vulnerabilidades deve aumentar o número de correções mensais. Divulgação em 13 de outubro de 2026.