A Correção Chega Através Daquilo Que Se Partiu

O Patch Tuesday de 8 de setembro da Microsoft corrigiu o CVE-2026-81963, uma falha de escalada de privilégios no Windows Update Stack causada por uma resolução incorreta de ligações, o mesmo componente que entrega cada correção de segurança a uma máquina Windows. Um atacante autenticado localmente, já com acesso de baixo nível, pode explorá-la sem qualquer interação do utilizador para obter privilégios SYSTEM completos. A CISA confirmou exploração ativa e adicionou a falha ao seu catálogo Known Exploited Vulnerabilities a 8 de setembro, com um prazo de correção até 22 de setembro nos termos da Binding Operational Directive 26-04.

Desde 2022, foram corrigidas sete falhas de escalada de privilégios no Windows Update Stack em Patch Tuesdays. O CVE-2026-81963 é a primeira dessas sete a ter sido explorada em ambiente real como zero-day, ou seja, os atacantes já a usavam antes de a correção da Microsoft sequer existir, não depois. A Microsoft classifica-a com 7,8 em 10, Importante em vez de Crítica, o mesmo nível atribuído a falhas rotineiras de escalada de privilégios local que nunca chegam a ser exploradas em ambiente real.

Não É Possível Isolar O Canal Que Nos Repara

Na maioria das vulnerabilidades exploradas, uma equipa de segurança dispõe de uma mitigação a que recorrer enquanto uma correção é testada: desativar uma funcionalidade, bloquear uma porta, isolar um serviço. O Windows Update Stack não permite essa opção. Quem desativa ou restringe o componente atacado desativa também o mecanismo de que uma organização precisa para receber precisamente esta correção, e todas as seguintes. Uma equipa que quisesse esperar e testar esta correção num anel mais lento, a prática normal perante uma atualização de segurança com efeitos secundários desconhecidos, passaria esse período de espera a correr o componente vulnerável sem qualquer isolamento disponível.

O próprio componente da Microsoft Windows Advanced Local Procedure Call, ALPC, trouxe na mesma versão um segundo zero-day ativamente explorado, o CVE-2026-85880, também classificado com 7,8 e também adicionado ao catálogo da CISA com o mesmo prazo de 22 de setembro. Desde 2022, foram corrigidas dezasseis vulnerabilidades do ALPC, mas esta é a primeira explorada em ambiente real a surgir numa versão Patch Tuesday em mais de três anos, desde abril de 2023. Dois componentes estruturalmente distintos, ambos próximos do limite de confiança da própria máquina, ambos transformados em arma antes de a correção da Microsoft chegar a alguém.

O Que Isto Significa Para Um Ciclo De Correções

Uma classificação de gravidade Importante atribuída por um fornecedor deixa normalmente uma correção à espera atrás de trabalho de maior prioridade. A inclusão por parte da CISA de ambas as falhas no seu catálogo Known Exploited Vulnerabilities existe precisamente para contrariar esse instinto: as entradas do KEV são construídas a partir de exploração confirmada, não da triagem interna de um fornecedor, e a Binding Operational Directive 26-04 pede às agências federais, e por extensão a qualquer organização que siga as orientações da CISA para priorizar as suas próprias correções, que tratem uma entrada do KEV como urgente independentemente do nível de CVSS atribuído.

Para organizações com anéis de implementação faseados, o Patch Tuesday de setembro é o argumento para encurtar o intervalo entre o lançamento e a implementação completa especificamente em tudo o que toca no próprio canal de atualizações, porque uma vulnerabilidade dentro do mecanismo que acaba por entregar a sua correção não é algo que se possa dar ao luxo de deixar por corrigir enquanto se avalia num anel de teste. A lição prática é a mesma que o catálogo KEV da CISA existe para ensinar: incorporar a lista de exploração confirmada diretamente nas decisões de prioridade de correções, em vez de confiar na classificação de gravidade própria de um fornecedor para saber o que pode esperar.

Servola Journal

Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.

Ninguém nos paga por isto. Sem anúncios, sem muro de pagamento, gratuito para todos. Acreditamos simplesmente que compreender o que nos está a acontecer a todos não deveria depender de quem pode pagar por isso.

Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um gosto ou escreva um comentário positivo. Lemos todos, e são eles que nos mantêm em andamento.

Leia a seguir: Metade dos seis dias zero do Chrome em 2026 atingiu o mesmo motor  |  O Próximo Zero-Day do Chrome Segue para Bruxelas