A Microsoft publicou ontem seu Patch Tuesday mensal, com um recorde de 622 vulnerabilidades corrigidas, incluindo 57 classificadas como críticas, conforme o Security Update Guide da empresa. O número é quase três vezes superior ao recorde anterior do mês passado. A empresa atribuiu o aumento expressivo ao uso de inteligência artificial para descoberta de vulnerabilidades.
Zero-days explorados e falhas críticas
Entre as vulnerabilidades corrigidas, duas estão sendo ativamente exploradas, de acordo com informações do Talos Intelligence. A CVE-2026-56155 é uma falha de elevação de privilégio no Active Directory Federation Services (AD FS), e a CVE-2026-56164 é uma vulnerabilidade de spoofing no Microsoft SharePoint Server. Uma terceira falha, CVE-2026-50661, no Windows BitLocker, foi divulgada publicamente, mas não há evidências de exploração ativa. Das 57 vulnerabilidades críticas, 48 são de execução remota de código (RCE), abrangendo produtos como Windows Media, DHCP, Office, SharePoint, SQL Server e Microsoft Copilot. A falha CVE-2026-48561 no Microsoft Copilot recebeu pontuação CVSS de 9,6 e permite execução remota de código por meio de um site malicioso, segundo a Action1. Cerca de 250 das falhas corrigidas são de elevação de privilégio, incluindo os dois zero-days já explorados.
IA acelera descoberta e críticas ao índice de exploração
Em um blog post de 9 de julho, Pavan Davuluri, vice-presidente executivo da Microsoft, afirmou que “o ritmo da descoberta de vulnerabilidades está mudando com avanços em IA, tornando possível encontrar mais problemas, mais rápido, em mais código”. Especialistas, como Satnam Narang da Tenable, argumentam que o índice de explotabilidade da Microsoft precisa evoluir para acompanhar a velocidade das ferramentas de IA. Narang citou que o modelo Mythos Preview da Anthropic produziu provas de conceito para 13 de 14 vulnerabilidades classificadas como “menos prováveis” de serem exploradas. A Cisco Talos lançou regras Snort para detectar tentativas de exploração de algumas das vulnerabilidades. A Adobe também anunciou que aumentará sua cadência de patches para duas vezes por mês, citando IA como fator. A Microsoft recomenda que os usuários apliquem as atualizações prioritariamente e façam backup dos sistemas antes da instalação devido ao grande volume de patches.
