• As atualizações de segurança publicadas pela Microsoft em 8 de setembro corrigem falhas de elevação de privilégio já exploradas no Windows Update Stack e no Advanced Local Procedure Call
  • A confirmação de que essas falhas foram exploradas fornece às equipes responsáveis pelas atualizações informações que uma fila de correções baseada apenas em pontuações de gravidade deixaria de considerar

O fato

A Microsoft lançou, em 8 de setembro, correções para duas vulnerabilidades do Windows que, segundo a empresa, já haviam sido exploradas em ataques. CVE-2026-81963 afeta o Windows Update Stack e permite que um invasor que já tenha acesso a uma máquina vulnerável obtenha privilégios mais elevados por meio do tratamento inadequado de um link de arquivo. CVE-2026-85880 afeta o Windows Advanced Local Procedure Call, usado pelo Windows para a comunicação entre processos, e pode permitir que um invasor obtenha privilégios de SYSTEM.

Ambas as vulnerabilidades têm pontuação 7,8 no CVSS e recebem da Microsoft a classificação Importante. As falhas relatadas envolvem elevação de privilégio, e não acesso remoto inicial pela internet. Os relatos disponíveis não identificam as organizações visadas nos ataques, não descrevem uma cadeia completa de intrusão nem estabelecem que todos os sistemas Windows sejam afetados.

A avaliação

A aplicação de correções em ambientes corporativos é uma questão de triagem, não de placar. Quando a exploração é confirmada, as equipes precisam ir além de uma simples ordenação por pontuações de gravidade e determinar onde os componentes vulneráveis estão de fato presentes. Isso significa cruzar os boletins com seus próprios dispositivos e servidores, identificar os serviços de negócio sustentados por esses sistemas e decidir onde os testes e a implantação precisam avançar mais rapidamente.

Para os leitores da BTW, a exigência de acesso local reduz o alcance do risco sem torná-lo irrelevante. A instalação das correções elimina as vulnerabilidades nos sistemas afetados, mas não revela se um invasor as explorou antes da instalação da atualização. As equipes de segurança e operações, portanto, têm duas tarefas distintas: reduzir o tempo durante o qual as máquinas às quais as correções se aplicam permanecem expostas e investigar sistemas suspeitos nos quais pode ter ocorrido comprometimento anterior.

A conclusão da aplicação das correções e as evidências de comprometimento respondem a perguntas diferentes e não devem ser tratadas como a mesma métrica.

O que observar

Acompanhe a divulgação, pela Microsoft ou por pesquisadores de segurança, de mais detalhes sobre como as vulnerabilidades estão sendo exploradas e quais configurações do Windows são afetadas. Dentro das organizações, os indicadores mais úteis serão a cobertura dos sistemas aos quais as atualizações se aplicam, as exceções à aplicação de correções ainda não resolvidas e qualquer evidência de que as falhas foram usadas antes da instalação das atualizações.