A Microsoft publicou hoje um novo pacote recorde de “Patch Tuesday”  corrigindo 164  vulnerabilidades em diversos produtos.

Entre as falhas tratadas estão: duas zero-day, oito classificadas como críticas e 154 com severidade “Importante”, afetando componentes do sistema operacional, serviços de rede e aplicações da plataforma.

O boletim também inclui duas vulnerabilidades do tipo zero-day. Uma delas já possui exploração ativa observada em ambiente operacional, enquanto a outra foi divulgada publicamente, o que aumenta significativamente o risco de exploração no curto prazo.

Recomenda-se que equipes de segurança e administradores de sistemas avaliem e priorizem imediatamente a aplicação das atualizações, especialmente em ativos expostos à Internet ou em ambientes críticos.

Observação: No contexto dessas vulnerabilidades, RCE significa Remote Code Execution (Execução Remota de Código), ou seja, uma falha que permite que um invasor execute código arbitrário em um sistema remoto, muitas vezes sem autenticação ou com um nível mínimo de acesso.

Curiosidade:

Este “Patch Tuesday” de abril de 2026 não é o maior “recorde de patches” da Microsoft em um único mês. O recorde recente é o “Patch Tuesday” de outubro de 2025, que corrigiu cerca de 172 a 175 vulnerabilidades em um único ciclo, considerado a maior atualização mensal documentada em anos

A seguir fazemos um compilado das correções principais.

Cenário Geral Microsoft

• Distribuição por tipo:

  • Elevação de privilégio: 93 (todas “important”).

  • Execução remota de código (RCE): 20, sendo 7 críticas e 13 “important”.

  • Negativa de serviço (DoS): 9, com 1 crítica e 8 “important”.

  • Divulgação de informação: 20, todas “important”.

  • Spoofing: 8, todas “important”.

  • Security feature bypass: 12, todas “important”.

Produtos impactados incluem: Windows Kernel, Hyper‑V, Graphics Component, Kerberos, BitLocker, Defender, AD, pilha TCP/IP, IKE, Remote Desktop, Office (Word, Excel, PowerPoint), SharePoint, .NET, SQL Server, Azure Logic Apps, Dynamics 365 on‑premises, PowerShell, Power Apps, Win32K, Storage Spaces, UPnP, WFP, csc.sys, tdx.sys, Shell, EFS, e possivelmente outros componentes.

Observação: Os Links oficiais com instruções do MSRC – Microsoft Security Response Center  para tratar as vulnerabilidades citadas estão no final dessa publicação, na seção “Referências”.

Principais zero‑days corrigidos

• CVE‑2026‑33825 – Microsoft Defender (Elevação de privilégio) 

  • Falta de granularidade na ACL permite que um usuário autenticado eleve privilégios locais.

• CVE‑2026‑32201 – Microsoft SharePoint Server (Spoofing)

  • Vulnerabilidade de validação de entrada que permite spoofing de rede sem autenticação.

  • CISA já incluiu este CVE no “Known Exploited Vulnerabilities Catalog” e recomendou correção até 28/04/2026.

Principais vulnerabilidades críticas (RCE e vetores de alto impacto)

Destaco 8 críticas, incluindo:

• CVE‑2026‑32157 – Remote Desktop Client (RCE): Use‑after‑free que permite execução remota de código se um usuário autenticado se conectar a um servidor malicioso.

• CVE‑2026‑33826 – Windows Active Directory (RCE): Falta de validação de entrada em AD permite RCE adjacente via RPC crafted para um host RPC.

• CVE‑2026‑33827 – Windows TCP/IP (RCE): Race condition em TCP/IP pode permitir RCE em nó Windows com IPSec ativado via pacote IPv6 crafted.

• CVE‑2026‑33824 – Windows IKE Extensions (RCE): Falha em IKEv2 permite envio de pacotes crafted para máquina Windows com IKEv2 habilitado, potencialmente resultando em RCE.

• CVE‑2026‑23666 – .NET Framework (DoS): Race condition em .NET que permite negação de serviço para clientes de rede.

• CVE‑2026‑32190 / CVE‑2026‑33114 / CVE‑2026‑33115 – Office / Word (RCE local): Vulnerabilidades de uso após‑liberação e de ponteiro em Office/Word que permitem RCE local a partir de documentos maliciosos.

Outros destaques técnicos

Diversos outros CVEs relevantes, em grande parte de elevação de privilégio ou bypass de segurança, por exemplo:

• CVE‑2026‑26151 – Remote Desktop spoofing (spoofing de rede).

• CVE‑2026‑27906 – Windows Hello (bypass de recurso de segurança local).

• CVE‑2026‑27908 / 27921 – Windows TDI Translation Driver (tdx.sys) – use‑after‑free levando a SYSTEM.

• CVE‑2026‑32093 – Windows Function Discovery Service (fdwsd.dll) – elevação de privilégio.

• CVE‑2026‑32152 / 32154 – Desktop Window Manager – UaF levando a SYSTEM.

• CVE‑2026‑0390 – Windows Boot Loader (bypass de boot‑security).

• CVE‑2026‑32202 – Windows Shell spoofing.

• CVE‑2026‑26169 – vazamento de memória do Kernel (info disclosure local).

• CVE‑2026‑27913 – BitLocker (bypass de segurança local).

Esses exemplificam que a atualização de abril traz um conjunto pesado de vulnerabilidades de elevação de privilégio local, bypass de segurança, e spoofing, além dos RCEs críticos.

Referências

CVEs principais citados

Demais CVEs citados

Apêndice: Tabela de priorização

Abaixo está uma sugestão de tabela de priorização de patching focada apenas nos CVEs da Microsoft que citamos, com três níveis aproximados de prioridade para ambiente corporativo típico (AD, RDP, e‑mail, endpoints, servidores internos).

Prioridade P1 – Patches críticos, devem serem feitos nas primeiras 24–72h

Prioridade P2 – Prioridade alta, mas não “zero‑day/web‑facing”, recomendado fazer entre faça 1 a 7 dias após P1