Microsoft encadeia mais um Patch Tuesday recorde com ajuda de IA

O que aconteceu

O Patch Tuesday — nome dado ao pacote mensal de correções de segurança que a Microsoft libera toda segunda terça-feira do mês — voltou a ser notícia em 2026 por um motivo recorrente: o volume de vulnerabilidades corrigidas segue batendo recordes anteriores. A sequência do ano mostra a escalada: 137 falhas corrigidas em maio, 206 em junho, e um salto para 622 em julho, o maior volume mensal já registrado pela empresa. Em agosto, o pacote seguiu robusto, com 398 vulnerabilidades resolvidas — sendo 42 classificadas como críticas e 355 como importantes —, o segundo maior lançamento da história da companhia.

A Microsoft atribui parte desse aumento ao uso crescente de ferramentas de inteligência artificial para varredura e descoberta de falhas em seus produtos. Em maio, a empresa já havia declarado que a descoberta de vulnerabilidades assistida por IA deixou de ser especulativa para se tornar um problema de engenharia rotineiro dentro de seus times de segurança.

Foto: reprodução/techcrunch.com

Quem é afetado

Os pacotes mensais cobrem o ecossistema Windows, Office, Azure, Exchange Server e outros produtos corporativos e domésticos da Microsoft. Como a maioria das falhas afeta versões amplamente usadas do Windows, o impacto potencial alcança tanto usuários domésticos quanto empresas que dependem da infraestrutura da companhia.

O que fazer agora

Com o volume de correções em patamar muito acima da média histórica — cerca de cinco vezes o que a Microsoft costumava lançar por mês antes da adoção de ferramentas de IA para achar bugs —, a recomendação de especialistas em segurança se mantém simples, mas ganha urgência:

Manter a atualização automática do Windows e do Office ativada, sem adiar reinicializações;
Priorizar a instalação imediata de correções classificadas como críticas, especialmente as que permitem execução remota de código;
Empresas devem revisar seus ciclos de teste e homologação de patches, já que o ritmo de lançamentos mensais consistentemente altos exige processos de aplicação mais ágeis do que o padrão adotado nos últimos anos.

Ainda que a IA esteja ajudando a encontrar mais falhas antes que sejam exploradas por criminosos, especialistas apontam que a ameaça inversa — agentes maliciosos usando IA para explorar essas mesmas vulnerabilidades mais rápido — ainda não se materializou na mesma escala, mas é um cenário monitorado de perto pela indústria de segurança.

Atualização (09/09, 03:52): Atualização (9/9/2026): já é possível confirmar os números exatos do Patch Tuesday recorde da Microsoft de setembro: foram 972 vulnerabilidades corrigidas de uma só vez, das quais 112 foram classificadas como críticas — o maior volume de correções já lançado em um único Patch Tuesday, mais que o dobro do total de agosto e superando a marca anterior de julho, de 570 falhas.

Das vulnerabilidades críticas, a maior parte é composta por falhas de execução remota de código (RCE), categoria tratada como prioridade máxima por equipes de segurança. O pacote também inclui duas vulnerabilidades zero-day já exploradas ativamente por atacantes antes da correção: uma no serviço de atualização do Windows (CVE-2026-81963) e outra no Advanced Local Procedure Call do Windows (CVE-2026-85880). O Office recebeu 22 correções críticas, 12 delas exploráveis apenas pela pré-visualização de um arquivo malicioso, sem necessidade de clique ou abertura do anexo.

Vale notar que a contagem exata varia ligeiramente entre organizações de segurança — BleepingComputer registrou 966, a Zero Day Initiative contabilizou 972 e a Tenable, 964 —, diferença atribuída à forma como cada uma trata avisos que cobrem múltiplos produtos ou são revisados após a publicação inicial.