A Microsoft publicou, em 11 de agosto de 2026, seu pacote mensal de atualizações de segurança, corrigindo aproximadamente 400 vulnerabilidades distribuídas por Windows e diversos componentes do seu ecossistema. Entre elas estão 42 vulnerabilidades classificadas como críticas, sendo 37 relacionadas à execução remota de código (RCE) e cinco à elevação de privilégio. Mais importante que o volume, porém, é a existência de três vulnerabilidades consideradas zero-day, uma delas já explorada em ataques reais.

Nível de urgência: ALTO. Existe exploração ativa confirmada por um grupo estatal (Lazarus/Coreia do Norte) contra uma vulnerabilidade corrigida neste ciclo. Recomenda-se priorização imediata do patch para CVE-2026-68820.

A vulnerabilidade explorada, CVE-2026-68820, foi usada pelo grupo norte-coreano Lazarus para instalar uma nova versão do rootkit em modo kernel FudModule, segundo pesquisa da Check Point.

O volume permanece muito acima da média histórica, e a própria Microsoft atribui esse crescimento ao uso ampliado de mecanismos de descoberta de vulnerabilidades assistidos por IA,  uma tendência que também favorece atacantes, como já dissemos em outras ocasiões.

O que fazer primeiro

Os números do mês

Como dito, a Microsoft corrigiu aproximadamente 400 vulnerabilidades neste ciclo, distribuídas da seguinte forma (categorias aproximadas, não necessariamente mutuamente exclusivas):

• ~176 de elevação de privilégio
• ~110 de execução remota de código
• ~86 de divulgação de informações
• ~21 de spoofing
• ~12 de negação de serviço
• ~11 de bypass de mecanismos de segurança

O volume é menor que o de julho, quando a Microsoft havia corrigido cerca de 570 vulnerabilidades, mas segue muito acima do que historicamente se observava em um único Patch Tuesday.

Por que os números estão tão altos?

A própria Microsoft já havia alertado que Patch Tuesdays maiores deveriam se tornar a norma, à medida que a empresa amplia o uso de mecanismos assistidos por IA para descoberta e análise de vulnerabilidades em seu código. Mais CVEs não significam necessariamente que o software está ficando mais inseguro, mas sim podem significar que estamos ficando melhores em encontrar falhas que sempre estiveram lá.

Oa atacantes também estão fortalecidos?

O problema é que essa capacidade não é exclusiva dos fabricantes. As mesmas técnicas de análise de código em larga escala que ajudam a Microsoft a encontrar bugs mais rápido também estão disponíveis para pesquisadores independentes e para atacantes. Descoberta, análise e exploração de vulnerabilidades estão passando a ocorrer em uma velocidade diferente daquela sobre a qual os processos tradicionais de gestão de patches foram construídos. Agosto trouxe um exemplo concreto disso.

Pontos principais de atenção

1. O zero-day que o Lazarus já explorava: CVE-2026-68820

• Componente: Windows Ancillary Function Driver for WinSock (AFD.sys)
• Tipo: Use-after-free
• Impacto: Elevação de privilégio para SYSTEM
• Vetor: Local, autenticado, sem interação do usuário
• Status: Exploração ativa confirmada

Um atacante autenticado localmente pode executar uma aplicação especialmente preparada, disparar uma condição de corrida no AFD.sys e obter privilégios SYSTEM, sem qualquer interação adicional da vítima.

A diferença entre esta CVE e as outras ~399 corrigidas neste mês é simples: ela já estava sendo explorada antes do patch existir.

Pesquisadores atribuíram a exploração ao grupo norte-coreano Lazarus, no contexto de uma campanha de espionagem batizada de Operation Dream Job, que usa ofertas de emprego fraudulentas como isca de engenharia social contra profissionais dos setores de defesa, aeroespacial e aviação.

Após obter execução inicial, os atacantes usaram a CVE-2026-68820 para escalar privilégios e instalar uma nova versão do FudModule, o rootkit em modo kernel historicamente associado ao Lazarus, usado para desativar telemetria de segurança, cegar provedores ETW e sabotar a visibilidade de soluções de EDR.

A cadeia observada ilustra um ponto frequentemente perdido quando se analisa CVEs isoladamente: a vulnerabilidade não precisa ser o ponto de entrada da invasão. Depois de obter acesso inicial por outros meios (neste caso, engenharia social), o atacante usa uma falha local de elevação de privilégio para transformar execução limitada em controle privilegiado do endpoint. É por isso que o CVSS, isoladamente, nem sempre reflete adequadamente a prioridade operacional real de uma vulnerabilidade. Exploração confirmada muda a equação, e esta CVE já foi incluída pela CISA em seu catálogo de vulnerabilidades exploradas conhecidas, com prazo de correção recomendado.

2. LegacyHive ganha CVE e correção oficial: CVE-2026-62832

• Componente: Windows User Profile Service
• Tipo: Resolução inadequada de links antes do acesso a arquivos
• Impacto: Elevação de privilégio administrativo
• Vetor: Local, autenticado (requer credenciais de outra conta local), sem interação do usuário

Um atacante que já possua credenciais de outra conta local pode carregar o hive de registro pertencente a essa conta — inclusive contas administrativas, permitindo acesso ou alteração de dados e, potencialmente, culminando em privilégios de administrador.

Embora a Microsoft tenha creditado a descoberta formalmente a um pesquisador anônimo, as características técnicas correspondem à técnica divulgada publicamente em julho como LegacyHive, batizada pelo pesquisador independente Nightmare Eclipse (também conhecido como Chaotic Eclipse). Na época, o pesquisador demonstrou que usuários sem privilégios administrativos conseguiam manipular hives de outros usuários, preparando modificações que seriam exploradas assim que a conta privilegiada realizasse login. A técnica funcionava mesmo em sistemas totalmente atualizados com os patches de julho.

Com a correção deste mês, LegacyHive deixa de ser apenas uma prova de conceito pública e passa a ter CVE e patch oficial associados.

3. Isolamento de containers comprometido: CVE-2026-72971

• Componente: Windows Container Isolation FS Filter Driver (unionfs.sys)
• Tipo: Resolução inadequada de links antes do acesso a arquivos (tampering)
• Impacto: Alterações indevidas com impacto elevado sobre integridade
• Vetor: Local, autenticado, baixos privilégios, sem interação do usuário

Assim como no caso anterior, trata-se de um problema de resolução de links. Um atacante autenticado localmente pode explorar a condição para realizar alterações indevidas no ambiente de isolamento de containers.

Até o fechamento desta edição, não há indicação pública de exploração ativa equivalente à observada na CVE-2026-68820. Ainda assim, a vulnerabilidade já havia sido divulgada publicamente antes da disponibilização do patch, o que reduz a margem de conforto para organizações que decidam postergar a correção — especialmente aquelas com workloads Windows em containers.

400 patches não significam 400 prioridades

Nenhuma equipe de segurança consegue tratar “trocentas” vulnerabilidades como se todas apresentassem o mesmo risco. A priorização precisa considerar contexto real de exposição, não apenas contagem ou severidade nominal.

Uma ordem de trabalho razoável para este ciclo:

1. CVE-2026-68820: exploração ativa confirmada por ator estatal. Prioridade máxima.
2. CVE-2026-62832 e CVE-2026-72971:  vulnerabilidades publicamente conhecidas antes do patch, o que reduz o tempo disponível até uma eventual exploração.
3. Falhas críticas de execução remota de código: no restante do lote.
4. Vulnerabilidades em ativos expostos ou sistemas de alta relevância para a organização: atenção especial a componentes como Windows DNS Server, DHCP Server, SMB, Active Directory, Exchange Server, SharePoint, Office, PowerShell, Azure e Microsoft Entra, todos presentes no lote deste mês.

Este alerta será atualizado caso novas informações sobre exploração ativa das demais vulnerabilidades venham a público.

Referências

1. Microsoft Security Response Center, Security Update Guide, CVE-2026-68820
   https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-68820
2. Microsoft Security Response Center, Security Update Guide, CVE-2026-62832
   https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-62832
3. Microsoft, “Evolving Windows vulnerability management to meet the speed of AI-powered discovery”, 9 de julho de 2026
   https://blogs.windows.com/windowsexperience/2026/07/09/evolving-windows-vulnerability-management-to-meet-the-speed-of-ai-powered-discovery/
4. NIST National Vulnerability Database, CVE-2026-72971 Detail
   https://nvd.nist.gov/vuln/detail/CVE-2026-72971
5. Microsoft Security Response Center, Security Update Guide, CVE-2026-72971
   https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-72971